微软发布紧急更新以修复 Brotli 库中的严重漏洞

微软发布了带外（Out-of-Band）紧急安全更新，以修复编号为 CVE-2026-111497 的严重安全漏洞。该漏洞在技术界被称为 Broccoli2Shell、Node2Shell 和 HTTP2Shell 等多个名称。该问题源于谷歌开发的 Brotli 压缩算法解码器中存在“越界写”（Out-of-bounds write）错误。

该漏洞有哪些风险？

该漏洞影响 HTTP 服务器、客户端以及依赖受影响的 Brotli 库的应用程序。攻击者可以通过发送恶意压缩的数据流来利用此漏洞，从而导致系统崩溃或内存泄漏。在最坏的情况下，攻击者可能能够在采用非默认设置的 .NET 系统上执行远程代码（RCE）或提升权限。

对用户而言，实际有哪些改变？

微软解释称，该漏洞不会自动影响所有 .NET 应用程序，因为在标准的 .NET 或 ASP.NET Core 安装中，默认并未启用 Brotli 解压功能。然而，手动使用 ASP.NET Core request decompression、HttpClient automatic response decompression 或 System.IO.Compression API 等功能的应用程序则最容易受到攻击。

所需采取的措施

微软敦促开发人员和系统管理员尽快更新其工作环境。紧急更新包括以下版本：

• .NET 8: 版本 8.0.33
• .NET 9: 版本 9.0.22
• .NET 10: 版本 10.0.14
• .NET 11: 第三个候选发布版（Release Candidate 3）

附加建议：如果无法立即应用更新，建议通过防火墙或代理拦截传入的 Brotli 请求，或者暂时禁用 Brotli 解码功能。需要注意的是，如果应用程序集成了其自己的 Brotli 库副本，仅更新系统库是不够的，必须单独更新这些嵌入式的库。