La CISA, l'agenzia statunitense per la sicurezza informatica e delle infrastrutture, ha confermato che sono già in circolazione exploit attivi contro la vulnerabilità critica che riguarda Brotli, l'algoritmo di compressione lossless sviluppato da Google e ampiamente diffuso sul web. Il problema, identificato con il codice CVE-2026-111497 e noto anche con i nomi Node2Shell, Broccoli2Shell e HTTP2Shell, nasce da un difetto nel decoder di Brotli, ovvero il componente che decomprime i dati ricevuti, che può causare scritture in aree di memoria non autorizzate.
Un attacco da remoto con conseguenze gravi
Attraverso un flusso di dati Brotli appositamente manipolato, un attaccante può provocare da remoto arresti anomali dei processi, esporre contenuti sensibili della memoria o persino eseguire codice non autorizzato. Il bug era stato individuato inizialmente nell'ambiente di esecuzione JavaScript Node.js, ma è presto emerso che la portata è molto più ampia: coinvolge anche server e client HTTP basati su implementazioni vulnerabili di Brotli. La criticità riguarda quindi potenzialmente diverse infrastrutture software, non soltanto le applicazioni basate su Node.js, con un impatto che si estende a ecosistemi come Python e .NET.
CISA inserisce la falla nel catalogo KEV
Martedì la CISA ha inserito la vulnerabilità nel catalogo Known Exploited Vulnerabilities (KEV), riservato alle falle per le quali è confermata la presenza di exploit in circolazione. Le agenzie federali statunitensi dovranno applicare le correzioni entro il 10 novembre, rispettando la direttiva BOD 26-04. L'obbligo riguarda gli enti federali, ma l'agenzia raccomanda a tutti gli amministratori di rete di fare altrettanto con la massima priorità, aggiornando tempestivamente le librerie Brotli e i servizi esposti.
