A descoberta de uma vulnerabilidade crítica na biblioteca de compressão de dados Brotli, desenvolvida pelo Google, revelou riscos de grande escala em ambientes de desenvolvimento de software, tendo sido denominada pelos pesquisadores como "Node2Shell" (registrada sob o número CVE-2026-111497). Esta vulnerabilidade gerou um alerta técnico que incluiu atualizações de segurança da Microsoft, do projeto Node.js e de desenvolvedores de pacotes Python, para evitar riscos de execução remota de código (RCE).
O problema reside em uma falha do tipo "escrita fora dos limites" (out-of-bounds write) nas versões do Brotli de 1.0.3 a 1.2.0. O Google atribuiu a esta vulnerabilidade uma pontuação de gravidade de 9.2 de acordo com a escala CVSS v4, o que a coloca na categoria de vulnerabilidades críticas. A exploração desta falha leva à corrupção de memória, o que pode causar a falha de processos, o vazamento de conteúdos da memória ou, pior, permitir que um invasor não autorizado execute códigos arbitrários.
Por que esta ameaça representa um risco técnico?
A importância do Brotli reside no fato de ser uma biblioteca muito comum para a compressão de dados transmitidos pela web, e seu "descompressor" (decoder) está integrado em um número imenso de aplicações e bibliotecas de software. Qualquer aplicação que processe dados comprimidos provenientes de uma fonte não confiável — como solicitações HTTP comprimidas, respostas recebidas de servidores externos ou arquivos comprimidos — pode estar vulnerável se utilizar a versão afetada.
Escopo afetado e correções disponíveis
A onda de atualizações abrangeu vários setores técnicos vitais para garantir a integridade dos sistemas:
- Microsoft: Lançou atualizações para ambientes .NET (versões 8.0.33, 9.0.22, 10.0.14), Visual Studio (2019, 2022, 2026), além do PowerShell (versões 7.4, 7.5, 7.6).
- Node.js e Python: Foram lançadas correções para o projeto Node.js e pacotes Python populares como Brotli e brotlicffi.
- Outras ferramentas: As atualizações também incluíram Bun, Envoy e Istio.
O que desenvolvedores e administradores devem fazer?
Especialistas enfatizaram que apenas atualizar as bibliotecas pode não ser suficiente em alguns casos, pois os processos que já estão em execução continuarão utilizando o código vulnerável na memória. Portanto, é necessário seguir os seguintes passos:
- Atualizar as bibliotecas imediatamente: Migrar para as versões do Brotli 1.0.10, 1.1.1 ou 1.2.1 e superiores.
- Reiniciar os serviços: Todos os serviços e aplicações afetados devem ser reiniciados para garantir o carregamento do novo código e a limpeza da memória.
- Reconstruir contêineres: Em ambientes de computação em nuvem, as imagens de contêiner (Container Images) devem ser reconstruídas com base em imagens base (Base Images) que foram atualizadas para incluir as correções.