[{"data":1,"prerenderedAt":405},["ShallowReactive",2],{"page-\u002Fblog\u002Fkrytyczna-luka-brotli-http2shell-cve-2026-111497":3},{"id":4,"title":5,"body":6,"description":378,"extension":379,"meta":380,"navigation":400,"path":401,"seo":402,"stem":403,"__hash__":404},"content\u002Fblog\u002Fkrytyczna-luka-brotli-http2shell-cve-2026-111497.md","HTTP2Shell: krytyczna luka w Brotli wykorzystywana w atakach",{"type":7,"value":8,"toc":365},"minimark",[9,13,20,35,42,45,50,53,61,64,86,89,93,100,107,110,114,121,124,165,176,180,183,258,261,266,299,302,306,309,312,315,319],[10,11,5],"h1",{"id":12},"http2shell-krytyczna-luka-w-brotli-wykorzystywana-w-atakach",[14,15,16],"p",{},[17,18,19],"strong",{},"Dominik Panek · 27 października 2026 · Bezpieczeństwo IT",[14,21,22,23,26,27,30,31,34],{},"Krytyczna podatność w bibliotece kompresji Brotli zmusiła twórców popularnego oprogramowania do wydania pilnych aktualizacji zabezpieczeń. Luka oznaczona jako ",[17,24,25],{},"CVE-2026-111497",", znana również pod nazwami ",[17,28,29],{},"Node2Shell"," i ",[17,32,33],{},"HTTP2Shell",", może doprowadzić do uszkodzenia pamięci procesu, ujawnienia poufnych danych, a w określonych warunkach także do zdalnego wykonania kodu.",[14,36,37,38,41],{},"Problem dotyczy dekodera Brotli, wykorzystywanego między innymi przez Node.js, Microsoft .NET oraz wybrane biblioteki Pythona. Skala zagrożenia jest istotna nie tylko ze względu na liczbę potencjalnie podatnych aplikacji. ",[17,39,40],{},"CISA umieściła CVE-2026-111497 w katalogu Known Exploited Vulnerabilities (KEV)",", co oznacza, że podatność została uznana za wykorzystywaną w rzeczywistych atakach.",[14,43,44],{},"Administratorzy i twórcy oprogramowania powinni potraktować aktualizację jako pilne zadanie, szczególnie jeśli ich usługi przetwarzają dane Brotli pochodzące od niezaufanych użytkowników.",[46,47,49],"h2",{"id":48},"na-czym-polega-podatność-cve-2026-111497","Na czym polega podatność CVE-2026-111497?",[14,51,52],{},"Brotli to algorytm bezstratnej kompresji danych opracowany przez Google. Jest powszechnie wykorzystywany w internecie, między innymi do kompresowania odpowiedzi HTTP. W praktyce biblioteka może być dołączona bezpośrednio do aplikacji, środowiska uruchomieniowego lub innego komponentu.",[14,54,55,56,60],{},"Źródłem problemu jest błąd w dekoderze Brotli, związany z zapisem poza wyznaczonym obszarem pamięci (",[57,58,59],"em",{},"out-of-bounds write","). Odpowiednio spreparowany strumień skompresowanych danych może doprowadzić do uszkodzenia sąsiednich obszarów pamięci procesu.",[14,62,63],{},"Potencjalne skutki obejmują:",[65,66,67,74,80],"ul",{},[68,69,70,73],"li",{},[17,71,72],{},"Uszkodzenie pamięci i awarię procesu"," – aplikacja może przestać działać lub zostać doprowadzona do odmowy usługi (DoS).",[68,75,76,79],{},[17,77,78],{},"Ujawnienie informacji"," – w określonych warunkach możliwy jest odczyt danych znajdujących się w pamięci procesu.",[68,81,82,85],{},[17,83,84],{},"Zdalne wykonanie kodu (RCE)"," – w sprzyjających okolicznościach błąd może zostać wykorzystany do uruchomienia kodu na podatnym systemie.",[14,87,88],{},"Samo korzystanie z Brotli nie oznacza automatycznie, że aplikacja jest podatna na zdalny atak. Istotne jest to, czy wykorzystuje podatną wersję dekodera i czy przetwarza odpowiednio spreparowane dane pochodzące od niezaufanego źródła.",[46,90,92],{"id":91},"ocena-cvss-92-i-potwierdzone-wykorzystanie-w-atakach","Ocena CVSS 9.2 i potwierdzone wykorzystanie w atakach",[14,94,95,96,99],{},"CVE-2026-111497 otrzymała ocenę ",[17,97,98],{},"9,2 na 10 w skali CVSS 4.0",", co odpowiada kategorii krytycznej. Ocena została przypisana przez Google jako organizację CNA. Warto zaznaczyć, że NIST NVD prezentuje tę ocenę jako ocenę dostarczoną przez CNA, a nie jako niezależną ocenę NVD.",[14,101,102,103,106],{},"Początkowo publikowane informacje koncentrowały się na demonstracjach laboratoryjnych i możliwości wykorzystania błędu. Sytuacja zmieniła się jednak 27 października 2026 roku, kiedy CISA dodała podatność do katalogu ",[17,104,105],{},"Known Exploited Vulnerabilities",". Oznacza to, że nie należy już opisywać zagrożenia jako takiego, dla którego nie odnotowano wykorzystania w rzeczywistych atakach.",[14,108,109],{},"W kolejnych dniach instytucje zajmujące się cyberbezpieczeństwem publikowały ostrzeżenia dotyczące aktywnego wykorzystywania luki oraz publicznie dostępnych demonstracji jej wykorzystania. Organizacje korzystające z podatnych komponentów powinny niezwłocznie sprawdzić swoje środowiska i zastosować poprawki.",[46,111,113],{"id":112},"jakie-oprogramowanie-jest-zagrożone","Jakie oprogramowanie jest zagrożone?",[14,115,116,117,120],{},"Podatność dotyczy biblioteki Brotli w wersjach ",[17,118,119],{},"od 1.0.3 do 1.2.0",". Nie oznacza to jednak, że wystarczy zaktualizować jedną instalację biblioteki w systemie. Wiele aplikacji i środowisk zawiera własną, dołączoną kopię Brotli.",[14,122,123],{},"Do produktów i ekosystemów, dla których opublikowano informacje o podatności, należą między innymi:",[65,125,126,132,138,153,159],{},[68,127,128,131],{},[17,129,130],{},"Node.js"," – środowisko uruchomieniowe zawierające dekoder Brotli.",[68,133,134,137],{},[17,135,136],{},"Microsoft .NET"," – podatność dotyczy określonych wersji i ścieżek przetwarzania danych Brotli.",[68,139,140,143,144,148,149,152],{},[17,141,142],{},"Python"," – między innymi pakiety ",[145,146,147],"code",{},"Brotli"," oraz ",[145,150,151],{},"brotlicffi",".",[68,154,155,158],{},[17,156,157],{},"PowerShell 7, Visual Studio i Git for Windows"," – komponenty, w których również wykorzystywane są podatne biblioteki.",[68,160,161,164],{},[17,162,163],{},"Inne produkty i usługi"," – lista może się zmieniać, ponieważ kolejni dostawcy identyfikują komponenty zawierające własne kopie dekodera.",[14,166,167,168,171,172,175],{},"W przypadku .NET ekspozycja zależy od sposobu użycia dekodera. Microsoft wskazuje między innymi na aplikacje korzystające z dekodowania Brotli w ASP.NET Core, automatycznego rozpakowywania odpowiedzi HTTP przez ",[145,169,170],{},"HttpClient"," lub API ",[145,173,174],{},"System.IO.Compression",". Nie każda aplikacja .NET jest więc automatycznie podatna. Klasyczny .NET Framework dostarczany wraz z Windows nie został wskazany jako podatny na ten problem.",[46,177,179],{"id":178},"dostępne-poprawki-i-zalecane-wersje","Dostępne poprawki i zalecane wersje",[14,181,182],{},"Dostawcy oprogramowania opublikowali poprawione wydania. W przypadku podstawowej biblioteki Brotli poprawki udostępniono w następujących wersjach:",[184,185,186,199],"table",{},[187,188,189],"thead",{},[190,191,192,196],"tr",{},[193,194,195],"th",{},"Komponent",[193,197,198],{},"Wersja zawierająca poprawkę",[200,201,202,210,218,226,234,242,250],"tbody",{},[190,203,204,207],{},[205,206,147],"td",{},[205,208,209],{},"1.0.10, 1.1.1 lub 1.2.1",[190,211,212,215],{},[205,213,214],{},"Node.js 22.x",[205,216,217],{},"22.23.4",[190,219,220,223],{},[205,221,222],{},"Node.js 24.x",[205,224,225],{},"24.22.1",[190,227,228,231],{},[205,229,230],{},"Node.js 26.x",[205,232,233],{},"26.12.1",[190,235,236,239],{},[205,237,238],{},"Microsoft .NET 8",[205,240,241],{},"8.0.33",[190,243,244,247],{},[205,245,246],{},"Microsoft .NET 9",[205,248,249],{},"9.0.22",[190,251,252,255],{},[205,253,254],{},"Microsoft .NET 10",[205,256,257],{},"10.0.14",[14,259,260],{},"W przypadku innych produktów należy sprawdzić komunikaty bezpieczeństwa ich producentów i zainstalować wydania zawierające zaktualizowaną bibliotekę Brotli. Dotyczy to również aplikacji, które dołączają własne kopie bibliotek lub działają w kontenerach.",[262,263,265],"h3",{"id":264},"co-powinni-zrobić-administratorzy","Co powinni zrobić administratorzy?",[267,268,269,275,281,287,293],"ol",{},[68,270,271,274],{},[17,272,273],{},"Zidentyfikować używane komponenty Brotli"," – sprawdzić wersje bibliotek, środowisk uruchomieniowych, zależności aplikacji i obrazów kontenerowych.",[68,276,277,280],{},[17,278,279],{},"Zaktualizować podatne oprogramowanie"," – zastosować poprawki udostępnione przez producentów, w pierwszej kolejności dla usług dostępnych z internetu.",[68,282,283,286],{},[17,284,285],{},"Przebudować aplikacje i obrazy kontenerów"," – jeżeli zawierają własne kopie podatnych bibliotek, aktualizacja systemowego pakietu może nie wystarczyć.",[68,288,289,292],{},[17,290,291],{},"Zweryfikować wdrożenie poprawek"," – sprawdzić faktycznie uruchomione wersje komponentów, a nie tylko pliki na serwerze lub konfigurację procesu budowania.",[68,294,295,298],{},[17,296,297],{},"Monitorować komunikaty producentów"," – lista produktów objętych podatnością i dostępność poprawek mogą się zmieniać.",[14,300,301],{},"Jeśli aktualizacja nie jest jeszcze dostępna, należy zastosować zalecane przez producenta środki ograniczające ryzyko. Jednym z tymczasowych rozwiązań może być wyłączenie dekodowania Brotli dla niezaufanych danych, o ile pozwala na to architektura aplikacji. Takie działanie nie zastępuje jednak instalacji poprawki.",[46,303,305],{"id":304},"podsumowanie","Podsumowanie",[14,307,308],{},"CVE-2026-111497 pokazuje, jak poważne konsekwencje może mieć błąd w pozornie niewielkim, powszechnie wykorzystywanym komponencie. Brotli jest obecne w wielu środowiskach i aplikacjach, dlatego podatność nie ogranicza się do jednego produktu czy platformy.",[14,310,311],{},"Szczególnie istotne jest umieszczenie luki w katalogu CISA Known Exploited Vulnerabilities. Administratorzy nie powinni traktować jej wyłącznie jako teoretycznego zagrożenia ani odkładać aktualizacji na później. Konieczne jest sprawdzenie wszystkich komponentów wykorzystujących dekoder Brotli, w tym zależności dołączonych bezpośrednio do aplikacji i obrazów kontenerowych.",[313,314],"hr",{},[46,316,318],{"id":317},"źródła","Źródła",[65,320,321,330,337,344,351,358],{},[68,322,323],{},[324,325,329],"a",{"href":326,"rel":327},"https:\u002F\u002Fnvd.nist.gov\u002Fvuln\u002Fdetail\u002FCVE-2026-111497",[328],"nofollow","National Vulnerability Database (NIST) – CVE-2026-111497",[68,331,332],{},[324,333,336],{"href":334,"rel":335},"https:\u002F\u002Fwww.microsoft.com\u002Fen-us\u002Fmsrc\u002Fblog\u002F2026\u002F10\u002Fpatch-now-php2shell-brotli-emudhra-guidance-for-customers",[328],"Microsoft Security Response Center – Patch now: PHP2Shell, Brotli, and eMudhra guidance for customers",[68,338,339],{},[324,340,343],{"href":341,"rel":342},"https:\u002F\u002Faccess.redhat.com\u002Fsecurity\u002Fcve\u002Fcve-2026-111497",[328],"Red Hat – CVE-2026-111497",[68,345,346],{},[324,347,350],{"href":348,"rel":349},"https:\u002F\u002Fwww.ncsc.govt.nz\u002Falerts\u002Fcve-2026-111497-affecting-brotli-decoder\u002F",[328],"New Zealand National Cyber Security Centre – CVE-2026-111497 affecting Brotli decoder",[68,352,353],{},[324,354,357],{"href":355,"rel":356},"https:\u002F\u002Fwww.csa.gov.sg\u002Falerts-and-advisories\u002Falerts\u002Fal-2026-154\u002F",[328],"Cyber Security Agency of Singapore – Active Exploitation of Critical Brotli Vulnerability Affecting Multiple Products",[68,359,360],{},[324,361,364],{"href":362,"rel":363},"https:\u002F\u002Fdigital.nhs.uk\u002Fcyber-alerts\u002F2026\u002Fcc-4882",[328],"NHS England Digital – Multiple Security Vendors Release Security Updates for Node2Shell Vulnerability",{"title":366,"searchDepth":367,"depth":367,"links":368},"",2,[369,370,371,372,376,377],{"id":48,"depth":367,"text":49},{"id":91,"depth":367,"text":92},{"id":112,"depth":367,"text":113},{"id":178,"depth":367,"text":179,"children":373},[374],{"id":264,"depth":375,"text":265},3,{"id":304,"depth":367,"text":305},{"id":317,"depth":367,"text":318},"Podatność CVE-2026-111497 w dekoderze Brotli otrzymała ocenę 9,2 w CVSS 4.0. Luka jest wykorzystywana w atakach i dotyczy wielu popularnych środowisk.","md",{"date":381,"updatedAt":382,"author":383,"slug":384,"category":385,"tags":386,"keywords":390,"metaTitle":398,"metaDescription":399,"published":400},"2026-10-27","2026-11-07","Dominik Panek","krytyczna-luka-brotli-http2shell-cve-2026-111497","Bezpieczeństwo IT",[387,147,25,388,130,142,389],"Cybersecurity","Microsoft","InfoSec",[147,391,25,33,29,392,393,394,395,396,397],"luka w Brotli","podatność RCE","Microsoft aktualizacja","luki w Python","luki w Node.js","bezpieczeństwo aplikacji","National Vulnerability Database","Krytyczna luka w Brotli (CVE-2026-111497). Microsoft i twórcy wydają poprawki","Podatność CVE-2026-111497 w dekoderze Brotli otrzymała ocenę 9,2 w CVSS 4.0 i jest wykorzystywana w atakach. Sprawdź, które wersje oprogramowania wymagają aktualizacji.",true,"\u002Fblog\u002Fkrytyczna-luka-brotli-http2shell-cve-2026-111497",{"title":5,"description":378},"blog\u002Fkrytyczna-luka-brotli-http2shell-cve-2026-111497","xFBiPH9m25zYARumlUovxgPQxc7L2h5T9Fr_PZbdjVk",1794064952332]