La société Microsoft a publié des mises à jour de sécurité d'urgence (Out-of-Band) pour traiter une vulnérabilité de sécurité critique classée sous le code CVE-2026-111497, connue dans les milieux techniques sous plusieurs noms, notamment Broccoli2Shell, Node2Shell et HTTP2Shell. Le problème réside dans une erreur de type "écriture hors limites" (Out-of-bounds write) au sein du module de décompression de l'algorithme de compression Brotli développé par Google.
Quels sont les risques de cette vulnérabilité ?
Cette vulnérabilité affecte les serveurs, les clients HTTP et les applications qui dépendent des bibliothèques Brotli concernées. Des attaquants peuvent exploiter cette vulnérabilité en envoyant un flux de données compressé de manière malveillante, ce qui entraîne un plantage du système ou une fuite de mémoire, et dans les pires scénarios, les attaquants peuvent réussir à exécuter du code à distance (RCE) ou à élever des privilèges sur les systèmes qui utilisent des configurations non par défaut dans l'environnement .NET.
Qu'est-ce qui change concrètement pour les utilisateurs ?
Microsoft a expliqué que la vulnérabilité n'affecte pas automatiquement toutes les applications .NET, car la décompression Brotli n'est pas activée par défaut dans les installations standard de .NET ou ASP.NET Core. Cependant, les applications qui utilisent des fonctionnalités telles que ASP.NET Core request decompression, HttpClient automatic response decompression ou les API System.IO.Compression de manière manuelle sont les plus exposées au danger.
Actions requises
Microsoft a instamment demandé aux développeurs et aux administrateurs système de mettre à jour leurs environnements de travail dans les plus brefs délais. Les mises à jour d'urgence ont inclus les versions suivantes :
- .NET 8 : Version 8.0.33
- .NET 9 : Version 9.0.22
- .NET 10 : Version 10.0.14
- .NET 11 : Troisième version candidate (Release Candidate 3)
Conseils supplémentaires : En cas d'impossibilité d'appliquer immédiatement les mises à jour, il est conseillé de bloquer les requêtes Brotli entrantes via un pare-feu ou un proxy, ou de désactiver temporairement la fonctionnalité de décompression Brotli. Il convient de noter que la mise à jour de la bibliothèque système ne suffit pas si les applications intègrent leur propre version de la bibliothèque Brotli, ces bibliothèques intégrées devant être mises à jour séparément.