Aller au contenu
Le Signal Clair
← Toutes les failles

Exploitée par des piratesCVSS 9.8Votre codeVotre entreprise

CVE-2026-111497 · Brotli

« HTTP2Shell »

bibliothèque de compression de données, intégrée notamment à Node.js · Au catalogue des failles exploitées depuis le 27 octobre 2026

Le risque

Un pirate peut envoyer des données compressées piégées pour lire des informations confidentielles en mémoire, faire planter le service, voire prendre le contrôle du serveur à distance, sans avoir besoin de s'identifier.

Que faire

Mettez à jour Brotli vers la version 1.0.10, 1.1.1, 1.2.1 ou plus récente, selon votre branche, ainsi que Node.js qui l'embarque.

À faire côté dev

Mettez à jour Brotli et tous les composants qui l'embarquent (Node.js, Python, .NET, Bun, Envoy, Istio, brotli4j), puis redémarrez les processus et reconstruisez les images, car la mise à jour de la bibliothèque système ne couvre pas les copies embarquées.

  • BrotliGoogle Brotlicorrigé en 1.0.10

    Versions corrigées citées : 1.0.10 et d'autres branches (liste tronquée). Redémarrez les processus après mise à jour.

  • .NET 8Microsoft .NETcorrigé en 8.0.33

    Mise à jour hors cycle du SDK et du runtime .NET 8.

  • .NET 9Microsoft .NETcorrigé en 9.0.22

    Mise à jour hors cycle du SDK et du runtime .NET 9.

  • .NET 10Microsoft .NETcorrigé en 10.0.14

    Mise à jour hors cycle du SDK et du runtime .NET 10.

  • .NET 11Microsoft .NET

    Correctif livré dans .NET 11 Release Candidate 3.

  • EnvoyEnvoy/Istiocorrigé en 1.37.8

    Versions corrigées : 1.40.0, 1.39.3, 1.38.6 ou 1.37.8, selon votre branche. Concerne le décompresseur Brotli configuré.

  • IstioEnvoy/Istiocorrigé en 1.29.9

    Versions corrigées : 1.29.9, 1.30.6 ou 1.31.2, selon votre branche.

  • brotli4jMavencorrigé en 1.24.0

    Les versions antérieures à 1.24.0 sont vulnérables.

Extrait automatiquement des articles du sujet. Vérifiez les versions auprès de l’éditeur avant de déployer.

D’après le sujet La vulnérabilité Brotli « node2shell » de cette semaine (CVE-2026-111497) est exploitable en Python, dans d'autres c...

Autres articles sur le Signal Clair

Détails techniques : CVE-2026-111497 sur cve.org (nouvel onglet)

20 sources suivies par le Signal Clair en parlent.

CVE-2026-111497 — Brotli (« HTTP2Shell ») · Le Signal Clair