Stručně
- Chyba CVE-2026-111497 (přezdívaná HTTP2Shell, Node2Shell nebo Broccoli2Shell) je v knihovně Brotli verzí 1.0.3 až 1.2.0. Google ji hodnotí jako kritickou (9,2 z 10).
- Opravené verze: Brotli 1.0.10, 1.1.1 a 1.2.1, Node.js 22.23.4, 24.22.1 a 26.12.1, .NET 8.0.33, 9.0.22 a 10.0.14.
- Microsoft ani CISA zatím zneužití v praxi neevidují, ukázkový kód je ale podle médií veřejný.
- Ohrožené jsou hlavně vlastní webové aplikace, intranety a API. Zeptejte se dodavatele webu nebo hostingu, jestli už aktualizoval.
Co se stalo
Brotli je knihovna od Googlu na kompresi dat. Používají ji webové servery, prohlížeče i programovací jazyky, aby se stránky a data přenášely rychleji. Google 22. října 2026 zveřejnil v knihovně chybu CVE-2026-111497. Média ji označují jako HTTP2Shell, Node2Shell nebo Broccoli2Shell. Jde o jednu a tutéž chybu.
Podle popisu od Googlu může útočník poslat upravená komprimovaná data. Aplikace, která je rozbalí, si tím může poškodit paměť. Výsledkem může být pád aplikace, únik dat z paměti, nebo v horším případě spuštění cizího kódu na serveru. Přihlášení k tomu útočník nepotřebuje. Google chybu hodnotí jako kritickou, 9,2 z 10. Microsoft ji pro .NET hodnotí na 8,1 z 10, ale také jako kritickou.
Zranitelné jsou verze Brotli 1.0.3 až 1.2.0. Opravené verze 1.0.10, 1.1.1 a 1.2.1 vyšly 21. října 2026.
Koho se to týká
Brotli je zabudované v mnoha nástrojích, proto opravy vydávají různí výrobci:
- Node.js: opravené verze 22.23.4, 24.22.1 a 26.12.1 (21. 10. 2026). Ohrožené jsou aplikace, které rozbalují data Brotli od cizích zdrojů. Nepodporované starší verze Node.js podle projektu opravy nedostávají.
- Python: balíčky brotli 1.2.1 a brotlicffi 1.2.1.0 (22. 10. 2026).
- .NET: Microsoft 25. října vydal mimořádné opravy 8.0.33, 9.0.22, 10.0.14 a 11 RC3. Opravy dostaly i PowerShell 7 a Visual Studio.
- Další software, který si Brotli nese v sobě: aplikace v kontejnerech, proxy, nástroje třetích stran.
Pro malou firmu to znamená hlavně servery a weby: vlastní webovou aplikaci, klientský portál, e-shop, intranet nebo napojení mezi systémy (API). Běžné kancelářské počítače s Windows a Macy jsou až na druhém místě.
A co Windows Update na počítačích?
Microsoft uvádí, že starší .NET Framework, který je součástí Windows, chybou zasažen není. Týká se to novějšího .NET 8, 9, 10 a 11. Podle Microsoftu je oprava dostupná přes Microsoft Update pro klientské Windows a přes WSUS a katalog Microsoft Update pro Windows Server.
Microsoft zároveň upozorňuje na dvě věci. Rozbalování Brotli není v .NET a ASP.NET Core ve výchozím nastavení zapnuté, aplikace si ho musí zapnout sama. A aplikace, které si .NET nesou v sobě (tzv. self-contained), nebo běží v kontejneru, aktualizace systému neopraví. Ty musí dodavatel znovu sestavit a nasadit.
Je chyba aktivně zneužívaná?
Microsoft k 26. říjnu uvádí, že zneužití nezaznamenal, ale považuje ho za pravděpodobné. Americká agentura CISA chybu ke dni vydání článku neuvádí v seznamu aktivně zneužívaných zranitelností. Podle zpráv médií je ale na internetu volně dostupný ukázkový kód pro zneužití. Proto nečekejte.
Co udělat teď
- Sepište, kde vám běží weby a aplikace. Firemní web, e-shop, portál, intranet, ale i starší aplikace, o které se už nikdo nestará.
- Zeptejte se dodavatele. Webové agentury nebo hostingu se zeptejte: Používá naše aplikace Node.js, Python nebo .NET? Je aktualizovaná na opravenou verzi? Byly znovu sestavené i kontejnery a aplikace, které si knihovny nesou v sobě?
- Vlastní server aktualizujte. Nainstalujte opravené verze, aplikace restartujte a kontejnery sestavte znovu. Aktualizace samotné systémové knihovny Brotli podle zpráv médií nestačí, pokud má aplikace vlastní kopii.
- Když to hned nejde, Microsoft radí do aktualizace nerozbalovat data Brotli od neznámých zdrojů. Dočasně jde rozbalování Brotli vypnout v nastavení aplikace. To je ale práce pro vývojáře.
- Počítače aktualizujte jako obvykle. Na Windows nechte běžet Microsoft Update. Na vývojářských počítačích aktualizujte i .NET, PowerShell 7 a Visual Studio.
Podobnou situaci jsme nedávno popisovali u chyb v PHP v článku php2shell. Postup je podobný: aktualizovat rychle a ověřit, že se oprava dostala i do aplikací. Proč se aktualizace nevyplatí odkládat, vysvětlujeme v článku aktualizace bez stresu. Pokud máte podezření, že už k útoku došlo, postupujte podle článku co dělat při kybernetickém útoku.
Časté otázky
Co je HTTP2Shell?
Přezdívka kritické chyby CVE-2026-111497 v kompresní knihovně Brotli od Googlu. Média ji označují i jako Node2Shell nebo Broccoli2Shell. Opravené verze Brotli jsou 1.0.10, 1.1.1 a 1.2.1.
Které verze Node.js a .NET jsou opravené?
Node.js 22.23.4, 24.22.1 a 26.12.1. .NET 8.0.33, 9.0.22, 10.0.14 a .NET 11 RC3.
Opraví to Windows Update na počítačích?
Microsoft uvádí, že oprava .NET je dostupná přes Microsoft Update pro klientské Windows a přes WSUS pro servery. .NET Framework zasažený není. Aplikace, které si .NET nesou v sobě nebo běží v kontejneru, musí dodavatel znovu sestavit.
Je chyba zneužívaná?
Microsoft ani CISA zneužití zatím neevidují. Podle médií je ale veřejně dostupný ukázkový kód, takže s aktualizací nečekejte.