Falha crítica no Brotli também afeta pacote PyPI e está no catálogo KEV
Publicado em
A vulnerabilidade CVE-2026-111497 atinge o decodificador Brotli da Google e também o pacote Brotli do PyPI, segundo o GitHub Advisory revisado. O problema permite corrupção de memória e pode levar a crash, vazamento de dados ou execução de código, e entrou no catálogo KEV da CISA com exploração ativa, de acordo com o NVD e a CISA.
Por que importa
O risco é maior para aplicações que descompactam dados Brotli vindos de fora, como em runtimes e bibliotecas que embutem o decodificador. Entre os produtos citados no material estão Node.js, .NET e o pacote brotlicffi, então equipes que usam esses componentes devem priorizar a correção.
O que fazer
- Atualize o Google Brotli para 1.0.10, 1.1.1 ou 1.2.1, conforme a linha usada.
- Atualize Node.js para 22.23.4, 24.22.1 ou 26.12.1, se a instalação estiver em uma dessas linhas.
- Atualize brotlicffi para 1.2.1.0, se for usado no ambiente.
- Revise aplicações que processam conteúdo Brotli vindo de fontes não confiáveis e aplique os patches disponíveis nos produtos afetados.