Falha no Brotli permite execução remota de código sem autenticação no Node.js, Bun, Envoy e curl

A OpenAI afirma que seu exercício de red teaming com alto poder computacional também encontrou uma vulnerabilidade no Brotli, a biblioteca de compactação integrada ao Node.js, Bun, Envoy e muitos outros programas. Ela é rastreada como CVE-2026-111497.

O que a OpenAI diz:

• A falha permite execução remota de código sem autenticação por meio de dados compactados maliciosos. Um servidor sem atualização que aceite entradas compactadas pode ser comprometido por um cliente malicioso, e um cliente sem atualização que aceite entradas compactadas (por exemplo, curl --compressed) pode ser comprometido por um servidor malicioso.
• A causa raiz foi corrigida no código-fonte do Brotli em fevereiro, mas ninguém sabia que se tratava de uma vulnerabilidade de segurança, e não houve lançamento. Como o Brotli vem integrado a outros softwares, cada projeto que o inclui precisa aplicar a atualização, e seus usuários também.
• A OpenAI divulgou a falha ao Brotli e a projetos que dependem dele, como o Node.js. A empresa afirma que eles já lançaram ou estão lançando atualizações de segurança, e que o Brotli lançou novas versões e publicou o CVE. Detalhes e medidas de mitigação estão em patchtheplanet.org/brotli.

O que a Aikido Security diz: a falha, detectada primeiro no Node.js e no Python, afeta muitas bibliotecas e aplicações que usam HTTP, e a empresa a chama de "HTTP2Shell". Ainda não há correções disponíveis para todos os serviços afetados; ela recomenda ficar de olho em atualizações de dependências para o Brotli 1.2.1. A Aikido lista correções já disponibilizadas para libbrotli, Python, C++, Node.js e Envoy (o aviso do próprio Envoy é GHSA-3wvj-j6qm-62mr) e diz que outras estão a caminho.