Aktualizované: CISA zaradila chybu Brotli CVE-2026-111497 medzi aktívne zneužívané
CISA zaradila chybu CVE-2026-111497 v dekóderi Google Brotli do katalógu KEV. Správcovia majú prioritne nasadiť dostupné opravy a preveriť dekompresiu nedôveryhodných dát.
CISA KEV Brotli prináša nové potvrdenie aktívneho zneužívania zraniteľnosti CVE-2026-111497. Americká agentúra CISA ju 27. októbra 2026 zaradila do katalógu Known Exploited Vulnerabilities (KEV), ktorý eviduje chyby so známym zneužitím. Pre správcov ide o dôvod povýšiť nasadenie opráv medzi prioritné úlohy.
CVE-2026-111497 je chyba zápisu mimo hraníc pamäte v dekóderi Google Brotli. Pri spracovaní Brotli toku pripraveného útočníkom môže viesť k pádu aplikácie, úniku pamäte alebo potenciálne k spusteniu kódu. Upstream projekt Google Brotli vydal opravy vo verziách 1.0.10, 1.1.1 a 1.2.1.
CISA KEV Brotli mení prioritu nasadenia opráv
Doterajšie informácie upozorňovali na potrebu preventívneho opravovania knižnice a produktov, ktoré ju obsahujú. Zaradenie do KEV teraz znamená, že CISA chybu eviduje ako aktívne zneužívanú. Organizácie by mali identifikovať produkty s pribaleným zraniteľným Brotli, nasadiť aktualizáciu od dodávateľa alebo opravenú verziu knižnice a preveriť internetovo dostupné cesty dekompresie.
Samotná prítomnosť Brotli v systéme však nie je dostatočným dôkazom praktickej zneužiteľnosti. Podstatné je, či konkrétna aplikácia dekomprimuje nedôveryhodné dáta. Riziko sa týka najmä služieb, ktoré prijímajú alebo spracúvajú externé HTTP požiadavky či odpovede s Brotli kompresiou.
Pokus o útok nie je potvrdený prienik
Nezávisle od záznamu CISA spoločnosť Previdian uviedla, že jej senzory 27. októbra zaznamenali jeden pokus o zneužitie. Tento údaj ani samotné zaradenie do KEV nepotvrdzujú úspešné kompromitovanie konkrétneho systému.
Verejne dostupné údaje zatiaľ neuvádzajú identitu útočníka, rozsah kampane ani obete. Nie je potvrdené ani to, že pokusy zachytené senzormi alebo honeypotmi viedli k spusteniu kódu či prieniku. Správcovia preto majú rozlišovať medzi potvrdením aktívneho zneužívania v evidencii CISA a detailmi jednotlivých útokov, ktoré zatiaľ zverejnené neboli.
Kde preveriť expozíciu
Kontrola by sa mala sústrediť na aplikácie, ktoré používajú Brotli pri práci s dátami z externých zdrojov. Faktický rozsah expozície závisí od konkrétnej konfigurácie, použitého runtimeu a dostupnosti dekompresnej cesty.
- Nasadiť Brotli 1.0.10, 1.1.1 alebo 1.2.1, prípadne aktualizáciu dodávateľa produktu s pribalenou knižnicou.
- Preveriť internetovo dostupné aplikácie spracúvajúce Brotli kompresiu v HTTP požiadavkách alebo odpovediach.
- Skontrolovať logy a telemetriu pre spracovanie externých komprimovaných dát, najmä v prostrediach Node.js, .NET a PHP na Windowse.
- Overiť, či aplikácia automaticky dekomprimuje HTTP obsah alebo používa Brotli API priamo.
Pri produktoch, ktoré obsahujú vlastnú kópiu knižnice, nemusí stačiť aktualizovať systémový balík Brotli. Rozhodujúca je oprava vydaná dodávateľom daného runtimeu alebo aplikácie.
Čo sledovať ďalej
Ďalšie informácie môžu priniesť CISA a dodávatelia produktov, najmä údaje o zasiahnutých aplikáciách, indikátoroch kompromitácie alebo konkrétnych kampaniach. Zverejnené správy zatiaľ hovoria o pokusoch o útok, nie o potvrdených úspešných kompromitáciách.
Zdroje
- CISA Known Exploited Vulnerabilities Catalog – Potvrdzuje zaradenie CVE-2026-111497 do katalógu KEV 27. októbra 2026 a klasifikáciu ako zraniteľnosti so známym zneužívaním.
- cisagov/kev-data – Oficiálne zrkadlo dát CISA KEV vysvetľuje, že sa synchronizuje s kanonickým katalógom CISA v priebehu minút.
- Google Brotli releases – Potvrdzuje bezpečnostné opravy CVE-2026-111497 vo vydaniach Brotli 1.0.10, 1.1.1 a 1.2.1.
- Previdian – Uvádza jeden senzorový pokus o zneužitie zaznamenaný 27. októbra a výslovne rozlišuje pokus od úspešného zneužitia.
- SecurityWeek – Koroboruje zaradenie do KEV a správy dvoch prevádzkovateľov senzorov či honeypotov o pokusoch o útok.
Overené a aktualizované: 28. 10. 2026 15:22
