Die US-Cybersicherheitsbehörde CISA hat die Schwachstelle CVE-2026-111497 im Google-Komprimierungsdecoder Brotli als aktiv ausgenutzt eingestuft. Bundesbehörden müssen betroffene Systeme bis zum 10. November patchen. Die als Node2Shell oder HTTP2Shell bekannte Lücke betrifft Software von Node.js über Bun bis hin zu Microsoft .NET.
CISA stuft Brotli-Lücke als aktiv ausgenutzt ein
Am 27. Oktober 2026 erließ die US-Cybersicherheitsbehörde CISA eine verbindliche Anweisung für zivile Bundesbehörden. Die Behörde fügte die kritische Sicherheitslücke CVE-2026-111497 ihrem Katalog bekannter ausgenutzter Schwachstellen hinzu. Grundlage dafür sind Nachweise über aktive Angriffe in realen Netzwerken.
Die unter Bezeichnungen wie Node2Shell, HTTP2Shell oder Broccoli2Shell bekannte Lücke basiert auf einem Schreiben außerhalb der Grenzen
im Dekodierer der Komprimierungsbibliothek Brotli von Google. Unauthentifizierte Angreifer können manipulierten Datenstrom nutzen, um den Prozessspeicher zu beschädigen, sensible Daten preiszugeben oder im schlimmsten Fall Remotecodeausführung auf betroffenen Systemen zu erreichen.
Die CISA erklärte in einer Warnhinweis-Meldung: Google Brotli enthält eine Schwachstelle durch ungeprüfte Rückgabewerte, die es einem entfernten, unauthentifizierten Angreifer ermöglicht, angrenzenden Decoder-Zustandsspeicher zu beschädigen, sensible Speicherinhalte preiszugeben, einen Dienstausfall zu verursachen oder mithilfe eines manipulierten Brotli-komprimierten Datenstroms potenziell beliebigen Code auszuführen.
OpenAI Codex Security entdeckte und meldete CVE-2026-111497, während Node.js die entsprechenden Korrekturen implementierte. Die Sicherheitslücke weist in der National Vulnerability Database einen Schweregrad von 9,2 von 10 Punkten auf. Die Erkennung geht auf einen Fehler beim Speichermanagement zurück, bei dem eine fehlerhafte Rückgabewertprüfung dazu führt, dass der Decoder Daten über das Ende eines zugewiesenen Puffers hinaus schreibt und angrenzenden Speicher überschreibt.
Untersuchungen von Wiz zeigten auf, dass 91 Prozent der Cloud-Umgebungen Ressourcen aufweisen, die von diesem Mangel betroffen sind, während 82 Prozent öffentlich freigegebene Node.js-Instanzen betreiben. Jake Knott, Leiter der Bedrohungsanalyse, erklärte dazu, dass eine scheinbar unbedeutende Komponente ein enormes geschäftliches Risiko bergen kann, da die Angriffsfläche äußerst breit und umfassend ist. Die zeitliche Abfolge der Ausnutzung zeigt, dass die durchschnittlichen Zeitspannen bis zur aktiven Ausnutzung hochkarätiger Sicherheitslücken in den letzten Jahren rasant geschrumpft sind. Während Mandiant für den Zeitraum von 2018 bis 2019 noch einen Durchschnitt von 63 Tagen gemessen hatte, sank dieser Wert für 2021 bis 2022 auf 32 Tage ab, und aktuelle Daten aus dem dritten Quartal 2026 beziffern die Zeitspanne für hochseverity-Fälle auf etwa drei Tage. Eine separate Analyse von Nucleus ermittelte einen Median von 5,5 Tagen von einem öffentlichen Proof of Concept bis zur Aufnahme in den CISA-Katalog.
Open-Source-Projekte veröffentlichen Notfallpatches
Am 21. Oktober 2026 veröffentlichte das Open-Source-Projekt Node.js korrigierte Versionen für drei Release-Linien: Die Versionen 22.23.4, 24.22.1 und 26.12.1 schließen die Sicherheitslücke. Google stellte am selben Tag die bereinigten Brotli-Versionen 1.0.10, 1.1.1 und 1.2.1 bereit. Das Projekt Bun zog mit der Version 1.4.4 nach, was vom Bun-Team unter dem Ticket oven-sh/bun Issue 46352 dokumentiert wurde. Für Python-Pakete wie Brotli und brotlicffi wurden am 23. Oktober 2026 aktualisierte Versionen wie 1.2.1 und 1.2.1.0 freigegeben.
Microsoft reagierte mit außerplanmäßigen Patches für .NET-Versionen, um eingebettete Brotli-Dekodierer zu korrigieren. Seemant Sehgal, Gründer und CEO von BreachLock, erläuterte, dass Angreifer bei fehlenden Aktualisierungen über Speicherbeschädigungen in einem betroffenen Prozess Privilegien eskalieren und die Reichweite des jeweiligen Dienstkontos übernehmen können.
Sicherheitsfirmen demonstrieren erfolgreiche Exploits
Sicherheitsfirmen wie ELLIO und Imperva demonstrierten in den Folgetagen erfolgreiche Exploits gegen Standardinstallationen. Imperva bewies die Ausnutzbarkeit. Die Sicherheitsfirma Sweet Security kündigte an, unter der Bezeichnung Sweet Safety Net kostenlosen virtuellen Patching-Schutz für alle betroffenen Organisationen bereitzustellen. Dror Kashti, Mitbegründer und CEO von Sweet Security, betonte, dass in realen Umgebungen bereits Ausnutzungsversuche beobachtet wurden.
Dazu gehört das Blockieren komprimierter Brotli-Anfragen am Web Application Firewall (WAF) oder dem API-Gateway, um Angriffsvektoren an der Außengrenze abzufangen, bis die dauerhaften Korrekturen in die regulären Deployment-Zyklen übergehen. Eine eigenständige Webpräsenz unter der Adresse Broccoli2Shell.com wurde eingerichtet, um Details der Schwachstelle zu dokumentieren, gefährdete Versionen zu erfassen und Angriffsversuche in freier Wildbahn zu protokollieren.
Bundesbehörden müssen betroffene Systeme bis zum 10. November patchen.
Weiterlesen
