Brotli – Uma vulnerabilidade crítica no Brotli, tecnologia de compressão de dados desenvolvida pelo Google, está levando empresas a distribuir atualizações de segurança. Identificada como HTTP2Shell, a falha do Brotli recebeu gravidade de 9,2 em uma escala de dez e pode provocar corrupção de memória, vazamento de informações, interrupção de serviços e, em determinadas condições, execução remota de código.

Registrado sob o código CVE-2026-111497, o problema também é conhecido como Node2Shell e Broccoli2Shell. Entre os softwares potencialmente afetados estão Node.js, aplicações .NET e pacotes de Python que utilizam versões vulneráveis do decodificador Brotli.

LEIA: Governo distribui novos analistas de TI para fortalecer serviços digitais

A falha ocorre quando determinadas versões do componente processam dados malformados, podendo gravar informações além dos limites previstos na memória. O problema não está restrito ao protocolo HTTP/2, apesar do nome, e pode atingir diferentes aplicações que utilizam o decodificador vulnerável.

Até a publicação da reportagem da TechRadar, não havia confirmação de exploração da vulnerabilidade em ataques maliciosos reais.

Empresas disponibilizam atualizações

O Google corrigiu a biblioteca Brotli em 21 de outubro, com as versões 1.0.10, 1.1.1 e 1.2.1. Na mesma data, o Node.js também lançou correções para as linhas 22.x, 24.x e 26.x.

No fim de semana, a Microsoft publicou uma atualização emergencial para o .NET, alertando que a exploração bem-sucedida poderia permitir a elevação de privilégios. Pacotes de Python também receberam correções em 23 de outubro.

Entre as versões corrigidas estão:

• • Brotli: versões 1.0.10, 1.1.1 e 1.2.1;

• • Node.js: versões 22.23.4, 24.22.1 e 26.12.1;

• • Python Brotli: versão 1.2.1;

• • Python brotlicffi: versão 1.2.1.0.

A aplicação das atualizações exige verificar as versões instaladas e as dependências utilizadas. Alguns programas incluem cópias próprias do decodificador, o que pode exigir correções adicionais.

Como reduzir os riscos

A principal recomendação é instalar as atualizações disponíveis e, quando necessário, reiniciar os processos e reconstruir imagens de contêineres para garantir que os serviços utilizem versões corrigidas.

Medidas temporárias, como bloquear determinadas requisições comprimidas em Brotli por meio de proxies, balanceadores de carga ou firewalls de aplicações, podem reduzir a exposição. No entanto, essas medidas não protegem todos os cenários. Para o Node.js, não há alternativa completa à atualização.

O caso também evidencia as dificuldades de manter segura uma infraestrutura digital que depende de diversos componentes e bibliotecas. Segundo reportagem da CNET, a PHP Foundation, organização que apoia o desenvolvimento e a segurança do PHP, conta com uma funcionária em tempo integral e cerca de 14 colaboradores em regime parcial, além de integrantes voluntários do conselho.

A diretora-executiva da entidade, Elizabeth Barron, afirmou à Reuters que a demanda por alterações de segurança no PHP aumentou com a expansão das ameaças identificadas por inteligência artificial (IA), sem crescimento equivalente no número de colaboradores.

Embora o HTTP2Shell e o PHP2Shell sejam vulnerabilidades distintas, ambas podem permitir a execução remota de código em determinadas condições. Por isso, corrigir uma delas não protege automaticamente os sistemas contra a outra.

Para os usuários que apenas acessam sites, atualizar o navegador ou trocar senhas não resolve uma falha presente no servidor de outra organização. A proteção depende principalmente da atualização dos componentes e da adoção de medidas de segurança pelos responsáveis pelas aplicações.

Acesse Benefícios Exclusivos na Bee Fenati

A Bee Fenati é uma rede social pensada para a categoria TI. Lá, o profissional de tecnologia troca experiências com colegas de profissão, se mantém atualizado sobre as novas tendências do setor de tecnologia, turbina o seu currículo com cursos e certificações, encontra vagas disponíveis no mercado e ainda ganha descontos e cashback em centenas de grandes marcas parceiras. (Saiba mais)

Abasteça com até 25% de desconto

A parceria da Bee Fenati com o Baratão Combustíveis garante até 25% de desconto na hora de abastecer utilizando os cupons exclusivos para sócios e contribuintes dos sindicatos filiados à Fenati. São mais de 3 mil postos credenciados em todo o país!

Todos os meses são disponibilizados quatro cupons, que se somam aos descontos do aplicativo. A economia média é de 20% por abastecimento, sendo possível recuperar todo o valor da contribuição ao sindicato em apenas uma compra. Para quem abastece toda semana, a parceria pode equivaler a um tanque grátis no mês! (Entenda como funciona aqui)

Recupere o valor da sua contribuição

Na Benefícios Rede Bee, o profissional de TI acessa descontos em centenas de grandes marcas, com muitas delas oferecendo cashback. A partir de R$ 20 acumulados em sua carteira digital, você pode transferir o dinheiro direto para sua conta bancária. (Saiba mais)

Capacitação profissional

Na Fenati Academy, você acessa milhares de cursos e diversas certificações internacionais gratuitas – ou com descontos exclusivos – de parceria de renome no mercado, como a Cisco e a Oracle. Você também ganha bolsa integral de acesso ao Sindplay, streaming de capacitação em TI apelidado pela mídia especializada como a “Netflix de TI”. (Saiba mais)

Encontre a vaga ideal

A Bee Hunter é uma plataforma inteligente que utiliza tecnologia e IA para tornar a busca por vagas mais eficiente, estratégica e conectada ao perfil de cada usuário. A ferramenta cruza currículos com vagas disponíveis e indica a melhor oportunidade em emprego para você. Ela ainda sugere cursos disponíveis na Fenati Academy para te ajudar a ficar mais perto do emprego que você está buscando. (Saiba mais) 

Baixe o aplicativo da Bee Fenati agora na APP STORE (IOS) OU PLAY STORE (ANDROID) e aproveite!

(Com informações de Olhar Digital)

(Foto: Reprodução/Imagem Gerada com IA)