Desenvolvedores e grandes empresas de tecnologia lançaram correções de segurança de emergência para resolver uma falha extremamente crítica conhecida como HTTP2Shell (rastreada sob o código CVE-2026-111497 e também conhecida pelos nomes Node2Shell e Broccoli2Shell), que afeta a biblioteca de descompressão escrita em C conhecida como Brotli, integrada ao ambiente Node.js e a várias outras plataformas de software.
A vulnerabilidade afeta as versões do Brotli de 1.0.3 até 1.0.9, além das versões 1.1.0 e 1.2.0. O problema foi relatado sob vários nomes por ter sido descoberto primeiro no ambiente Node.js, antes de ficar claro que o mesmo defeito no descompressor Brotli afeta softwares em diversos ambientes tecnológicos diferentes.
Escopo de impacto e sistemas afetados
Embora o nome HTTP2Shell reflita seu impacto potencial em clientes e servidores do protocolo HTTP, a vulnerabilidade não está restrita apenas ao HTTP/2, estendendo-se a quaisquer aplicativos que dependam da descompressão de dados Brotli controlados por invasores. Os aplicativos potencialmente afetados incluem:
- O famoso ambiente de execução Node.js.
- Bibliotecas HTTP em Python, como urllib3, requests, httpx e aiohttp, quando configuradas para funcionar com um descompressor Brotli vulnerável.
- Atualizações de segurança de emergência lançadas pela Microsoft para combater a vulnerabilidade na plataforma .NET, visto que sua exploração permite a escalação de privilégios nos sistemas afetados.
Mecanismo de exploração e seus impactos técnicos
A vulnerabilidade consiste em um defeito de estouro de buffer (Buffer Overflow), onde o fluxo de dados Brotli especialmente formatados aciona um processo de troca de blocos inválidos que o descompressor trata como válidos e interpreta erroneamente como uma solicitação de mais entradas. Ao continuar anexando bytes de entrada em um buffer interno de oito bytes, a gravação excede seus limites permitidos e corrompe a memória adjacente.
Relatórios técnicos emitidos pela empresa de cibersegurança Imperva indicam que a exploração bem-sucedida desta vulnerabilidade pode levar à interrupção de operações de software, à exposição de conteúdos sensíveis de memória e até à execução remota de código (RCE).
O que muda na prática e como corrigir?
Apesar de não haver relatórios atuais confirmando a exploração da vulnerabilidade em ataques cibernéticos ativos, a disponibilidade de códigos de prova de conceito (PoC) para exploração exige uma ação rápida por parte de administradores de sistemas e desenvolvedores.
- Atualizações imediatas: Foram disponibilizadas versões atualizadas para corrigir a falha no Google Brotli (1.0.10, 1.1.1 e 1.2.1), no Node.js (versões 22.23.4, 24.22.1 e 26.12.1), além das bibliotecas Python afetadas.
- Ações adicionais: Após a instalação das atualizações, os administradores devem reiniciar as operações afetadas, reconstruir as imagens de contêineres (Containers) e reimplantá-las.
- Soluções alternativas temporárias: Caso a atualização imediata seja inviável, recomenda-se remover totalmente o suporte ao Brotli nos aplicativos Python e bloquear solicitações de Brotli recebidas no nível do proxy ou do firewall.