Benvenuto su Hackerpunk — Hacking News Live 24h, la fonte in tempo reale per tutte le news di cybersecurity, cybercrime e Deep AI. Aggiorniamo costantemente le nostre notizie 24 ore su 24 con report tecnici, indagini digitali e analisi sugli attacchi più recenti.
Un difetto critico soprannominato «HTTP2Shell» in Brotli, la libreria di decodifica C incorporata in Node.js, potrebbe consentire agli aggressori di corrompere la memoria e accedere ai dati sensibili. Il problema di sicurezza è monitorato come CVE-2026-111497 ed è anche noto come «Broccoli2Shell» e «Node2Shell.» Colpisce le versioni di Brotli da 1.0.3 a 1.0.9, 1.1.0 e 1.2.0
. La vulnerabilità è stata segnalata sotto diversi nomi perché è stata inizialmente identificata in Node.js prima che i ricercatori scoprissero che la stessa falla nel decodificatore Brotli poteva influenzare il software in più ecosistemi. Impatto ampio Il nome HTTP2Shell riflette il suo impatto su client e server HTTP, sebbene la vulnerabilità non sia specifica per HTTP/2 e possa influire su altre applicazioni che decomprimono i dati Brotli controllati dall’aggressore
Oltre a Node. js, il software potenzialmente interessato include client HTTP Python come urllib3[brotli], richieste, httpx e aiohttp [speedups], se configurato con un decodificatore Brotli vulnerabile, nonché altre applicazioni e strumenti che utilizzano implementazioni Brotli vulnerabili. Domenica, Microsoft ha spinto un aggiornamento di sicurezza di emergenza per risolvere il problema in. NET, avvertendo che lo sfruttamento riuscito consente l’escalation dei privilegi sui sistemi con una versione. NET vulnerabile
. Brotli è un progetto open source sviluppato e mantenuto da Google per la compressione dei dati senza perdita. Riduce i file in modo che possano essere trasmessi più velocemente senza influire sui dati originali. La vulnerabilità Node2Shell è un overflow del buffer che consente a un flusso compresso Brotli appositamente predisposto di attivare un interruttore di blocco non valido che il decodificatore considera valido e interpreta erroneamente come una richiesta di ulteriori input
. Continuando ad aggiungere byte di input a un buffer interno di otto byte, la scrittura si estende oltre i suoi limiti, corrompendo la memoria vicina. "Un interruttore di blocco non valido è stato segnalato come una necessità temporanea di più input anziché un errore di formato permanente, quindi il decodificatore di streaming ha continuato ad aggiungere byte di input a un buffer interno di otto byte", spiega Node.js in un advisory
Un utente malintenzionato può sfruttarlo facendo in modo che un’applicazione decomprima i dati dannosi, ad esempio fornendo una risposta HTTP compressa a un’applicazione che recupera un URL o inviando una richiesta compressa direttamente a un server. Node.
js afferma che questo può bloccare il processo, esporre la memoria e abilitare l’esecuzione di codice remoto (RCE) Un recente rapporto della società di sicurezza informatica Imperva conferma che lo sfruttamento della vulnerabilità CVE-2026-111497 Node2Shell può portare a RCE
