CISA zaradila chybu Brotli CVE-2026-111497 medzi zraniteľnosti so zaznamenaným zneužívaním
CISA zaradila chybu Brotli CVE-2026-111497 do katalógu KEV, ktorý eviduje jej zneužívanie. Opravy vydali upstream projekt aj Node.js pre podporované vetvy.
Americká agentúra CISA 27. októbra 2026 zaradila chybu Brotli CVE-2026-111497 do katalógu Known Exploited Vulnerabilities (KEV). Zaradenie znamená, že agentúra eviduje jej zneužívanie. Federálne civilné agentúry USA musia problém odstrániť do 10. novembra 2026.
Zraniteľnosť sa nachádza v dekodéri Google Brotli a ide o zápis mimo hraníc vyhradenej pamäte. Nastáva pri spracovaní špeciálne vytvoreného komprimovaného vstupu. Riziko sa týka aplikácií, ktoré dekomprimujú Brotli dáta kontrolované útočníkom.
Chyba Brotli CVE-2026-111497: kde sú dostupné opravy
Upstream projekt Google Brotli vydal opravy vo verziách 1.0.10, 1.1.1 a 1.2.1. Organizácie preto nemajú preverovať iba verziu systémovej knižnice, ale aj kópie Brotli pribalené priamo v aplikáciách, runtime prostrediach alebo produktoch tretích strán.
Dopad potvrdil aj Node.js. Dotknuté sú vetvy 22.x, 24.x a 26.x, pre ktoré už vyšli opravené vydania:
- Node.js 22.23.4,
- Node.js 24.22.1,
- Node.js 26.12.1.
Pre prevádzkovateľov Node.js to znamená aktualizovať runtime na príslušnú opravenú verziu. Pri iných produktoch treba postupovať podľa bezpečnostných odporúčaní ich dodávateľa, keďže môžu používať vlastnú staticky pribalenú kópiu knižnice.
KEV zvyšuje prioritu inventarizácie
Katalóg KEV slúži ako zoznam zraniteľností, pri ktorých CISA eviduje zneužívanie. V prípade CVE-2026-111497 preto nejde iba o chybu sledovanú v rámci bežného procesu správy aktualizácií. Organizácie majú preveriť, kde spracúvajú nedôveryhodné Brotli odpovede, požiadavky alebo súbory.
Brotli sa používa pri kompresii dát a môže byť súčasťou runtime prostredí, HTTP klientov, serverov či bezpečnostných produktov. Relevantné sú najmä cesty, pri ktorých aplikácia automaticky alebo explicitne dekomprimuje vstup dodaný zvonka.
Ak okamžitá aktualizácia nie je možná, známou mitigáciou je obmedzenie dekompresie nedôveryhodných Brotli vstupov tam, kde to daný produkt alebo aplikácia umožňuje. Táto možnosť však závisí od konkrétneho nasadenia a konfigurácie.
Technické detaily útokov zatiaľ chýbajú
CISA nezverejnila technické podrobnosti aktívneho zneužívania, jeho rozsah ani pripísanie konkrétnym útočníkom. Nie je tiež potvrdené, ktoré produkty alebo nasadenia mimo už zverejnených dodávateľských advisories boli v útokoch zasiahnuté.
Potvrdenou vlastnosťou chyby je pamäťová korupcia počas dekompresie útočníkom pripravených dát. Konkrétne následky, vrátane možnosti vzdialeného spustenia kódu, závisia od aplikácie, vstupnej cesty, kompilácie a použitých ochranných mechanizmov.
Ďalší vývoj bude závisieť od nových informácií CISA alebo dôveryhodných výskumníkov o technike a cieľoch zneužívania. Dôležité budú aj ďalšie advisories dodávateľov, ktorých produkty obsahujú vlastnú kópiu Brotli.
Zdroje
- CISA Known Exploited Vulnerabilities Catalog – Potvrdzuje zaradenie CVE-2026-111497 do katalógu KEV 27. októbra 2026, evidenciu zneužívania a požadovanú nápravu.
- google/brotli releases – Potvrdzuje upstream bezpečnostnú opravu CVE-2026-111497 vo vydaní Brotli 1.2.1.
- Node.js Security Releases – Potvrdzuje charakter chyby v pribalenom dekodéri Brotli, možné dôsledky a dotknuté vetvy Node.js.
- Node.js 22.23.4 (LTS) – Potvrdzuje, že Node.js 22.23.4 obsahuje opravu CVE-2026-111497; analogické opravy vyšli aj pre podporované vetvy 24.x a 26.x.
- Palo Alto Networks CVE-2026-111497 advisory – Nezávisle od CISA potvrdzuje dotknuté upstream verzie, dostupné opravy a uvádza konkrétny dopad i mitigácie pre časť produktov Palo Alto Networks.
Overené a aktualizované: 28. 10. 2026 06:22
