Brotli2Shell (CVE-2026-111497): Was Unternehmen jetzt über Node2Shell und HTTP2Shell wissen müssen
27. Oktober 2026
Brotli2Shell auf einen Blick
Brotli2Shell (CVE-2026-111497), auch Node2Shell oder HTTP2Shell genannt, ist eine kritische Schwachstelle im weit verbreiteten Brotli-Decoder von Google. Google bewertet sie als zuständige CVE-Vergabestelle mit CVSS v4.0 9.2. Offengelegt wurde sie am 21. Oktober 2026 mit dem Sicherheitsrelease von Node.js. Präparierte, Brotli-komprimierte Daten können Prozessspeicher beschädigen, Speicher offenlegen, Prozesse abstürzen lassen und im schlimmsten Fall Codeausführung ohne Anmeldung ermöglichen. Betroffen ist keine einzelne Anwendung, sondern eine Bibliothek, die in Node.js, Bun, .NET, Python-Paketen, Envoy, Istio, Java-Bibliotheken, Datenbanken und Medienwerkzeugen steckt. Unser ausführliches Lagebild mit Versionsmatrix, Versions-Check, 7-Punkte-Plan und Betroffenheitsprüfung: https://brotli2shell.wiz.vamisec.com/
Was technisch passiert: ein Rückgabewert mit zwei Bedeutungen
Brotli ist ein Kompressionsverfahren, mit dem Webserver und CDNs Inhalte verkleinern. Der Decoder arbeitet als Strom und sammelt Bytes in einem internen Puffer von acht Byte, wenn ihm Eingabe fehlt. Bei einem unmöglichen Blockwechsel lieferte die Funktion DecodeBlockTypeAndLength() denselben Rückgabewert wie bei fehlender Eingabe. Der Decoder hielt den Formatfehler deshalb für eine Pause, hängte weitere Bytes an und schrieb über das Ende des Puffers hinaus. Laut Analysen überschreibt das neunte Byte die Längenangabe des Puffers, was weitere Schreibzugriffe steuerbar macht. Gefunden haben den Fehler Khai Tran und Sylvie Mayer von OpenAI Codex Security. Bemerkenswert: Der Fix steht seit dem 27. Februar 2026 im öffentlichen Brotli-Quellcode, Releases mit Fix kamen aber erst am 21. Oktober. Projekte mit festen Brotli-Releases blieben fast acht Monate verwundbar.
Welche Produkte betroffen sind und welche Versionen helfen
Betroffen ist Google Brotli von 1.0.3 bis 1.2.0, behoben in 1.0.10, 1.1.1 und 1.2.1. Gefixte Produktversionen: Node.js 22.23.4, 24.22.1 und 26.12.1, Bun 1.4.4, .NET 8.0.33, 9.0.22 und 10.0.14, die Python-Pakete brotli 1.2.1 und brotlicffi 1.2.1.0, Envoy 1.36.12, 1.37.8, 1.38.6, 1.39.3 und 1.40.0, Istio 1.29.9, 1.30.6 und 1.31.2 sowie Brotli4j 1.24.0. Node.js 20 und ältere Linien erhalten keinen Fix, .NET Framework ist laut Microsoft nicht betroffen. Für ClickHouse und libjxl, über das auch FFmpeg betroffen ist, sind Fixes gemergt, aber noch nicht veröffentlicht. DuckDB und Apache Arrow haben noch keinen Fix (Stand 27. Oktober 2026). Die Brotli-Module von nginx und Apache komprimieren nur und sind nicht betroffen. Die aktuellen Quellstände von Chrome und Firefox nutzen Brotli-Revisionen von März bzw. April 2026 mit dem Fix. Ab welcher Browser-Version das gilt, ist nicht veröffentlicht.
Drei Wege zum Decoder: Requests, Antworten und Dateien
Angreifbar ist ein System, wenn es Brotli-Daten aus nicht vertrauenswürdiger Quelle entpackt. Erstens eingehende Requests mit Content-Encoding: br, etwa über Express 5 mit body-parser 2, die Request Decompression von ASP.NET Core oder Brotli-Filter in Envoy. Zweitens Antworten fremder Server: fetch() in Node.js, HttpClient in .NET mit aktivierter Dekompression und Python-Clients mit installiertem Brotli-Paket entpacken automatisch. Imperva hat Codeausführung gegen Node.js auf beiden Wegen gezeigt. Gefährdet sind damit auch Webhooks, Link-Vorschauen, Crawler und KI-Agenten mit Web-Werkzeugen, die vom Nutzer gewählte URLs abrufen. Drittens Dateien wie JPEG XL oder Parquet. Eine WAF schützt nur die eingehende Richtung, und nur br aus Accept-Encoding zu streichen genügt nicht, weil ein bösartiger Server Brotli trotzdem senden kann.
Lage am 27. Oktober 2026: Exploits öffentlich, Ausnutzung nicht bestätigt
Auf GitHub kursieren mehrere Exploits. Codeausführung gelingt damit meist nur unter abgestimmten Bedingungen, ein Absturz dagegen leicht. ELLIO meldete am 26. Oktober Exploit-Verkehr gegen Node.js 24.22.0 auf eigenen Sensoren und wertet ihn als erste Ausnutzung in freier Wildbahn. Tenable hat das nicht unabhängig bestätigt, Rapid7 war keine Ausnutzung bekannt, und im KEV-Katalog der CISA steht die Lücke nicht. CERT-Bund führt sie im Hinweis WID-SEC-2026-4117 mit der Einstufung mittel. Laut Akamai betreiben 61 Prozent der Netzwerke betroffene Node.js-Versionen, laut Wiz haben 91 Prozent der Cloud-Umgebungen verwundbare Ressourcen.
Was Unternehmen jetzt tun sollten
Wir empfehlen einen 7-Punkte-Plan von außen nach innen: 1. Sichtbar machen, wo Brotli entpackt wird, Internet-exponierte Systeme zuerst. 2. Requests mit Content-Encoding: br an WAF, CDN oder Reverse Proxy abweisen und Brotli-Filter in Envoy und Istio abschalten. 3. Extern erreichbare Dienste und Dienste, die fremde URLs abrufen, zuerst patchen, Images neu bauen und Prozesse neu starten. 4. Danach interne Systeme, Datenpipelines und Werkzeuge nachziehen. 5. Von Tag 1 an schriftliche Berichte von Lieferanten einfordern. 6. Code und Images mit den Open-Source-Scannern von JFrog und Trail of Bits prüfen, Abstürze seit dem 21. Oktober auswerten und bei Hinweisen Zugangsdaten tauschen. 7. Alles dokumentieren und Meldepflichten prüfen. Details und Befehle zur Inventur: https://brotli2shell.wiz.vamisec.com/#massnahmen
Meldepflichten nach NIS2, DSGVO, DORA und Cyber Resilience Act
Eine ungenutzte Schwachstelle allein ist nicht meldepflichtig. Wurde sie ausgenutzt, können Meldepflichten nach NIS2 und dem BSI-Gesetz, nach der DSGVO oder für Finanzunternehmen nach DORA greifen. Hersteller, die Brotli oder eine Laufzeit wie Node.js in eigenen Produkten ausliefern, müssen seit dem 11. September 2026 aktiv ausgenutzte Schwachstellen nach dem Cyber Resilience Act über die Meldeplattform der ENISA melden. Die Fristen beginnen mit der Kenntnis vom Vorfall.
Wie VamiSec unterstützt
Als Mitglied der Wiz Partner Alliance prüft VamiSec kurzfristig, ob Brotli2Shell Sie betrifft: von außen mit Wiz ASM, dem Wiz Red Agent und VamiRedteam, von innen über read-only Wiz-Konnektoren für Cloud und Kubernetes sowie mit den Scannern von JFrog und Trail of Bits in Ihren Repositories. Sie erhalten eine priorisierte Befundliste und einen Maßnahmenplan. Anfragen an wiz@vamisec.com oder über https://brotli2shell.wiz.vamisec.com/#pruefung. Bei Verdacht auf eine Kompromittierung erreichen Sie unser CSIRT rund um die Uhr unter csirt@vamisec.com.
Alle Links und Quellen
Lagebild und Betroffenheitsprüfung: https://brotli2shell.wiz.vamisec.com/ · CVE-Eintrag: https://www.cve.org/CVERecord?id=CVE-2026-111497 · Node.js-Advisory: https://nodejs.org/en/blog/vulnerability/october-2026-security-releases · Brotli-Fix: https://github.com/google/brotli/commit/0ed4268a4401abcb4472096340477cf4af7d1a2b · .NET: https://github.com/dotnet/announcements/issues/494 · Imperva: https://www.imperva.com/blog/node2shell-from-brotli-data-to-remote-code-execution/ · JFrog: https://research.jfrog.com/post/brotli2shell-beyond-node2shell-and-http2shell/ · Wiz: https://www.wiz.io/blog/cve-2026-111497-brotli-rce-node-js · CERT-Bund: https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-4117 · Unabhängige Produktübersicht: https://broccoli2shell.com/
Häufige Fragen zu Brotli2Shell
Was ist Brotli2Shell?
Brotli2Shell ist ein Name für CVE-2026-111497, eine kritische Schwachstelle im Brotli-Decoder von Google mit CVSS v4.0 9.2. Andere Namen für dieselbe Lücke sind Node2Shell, HTTP2Shell und Broccoli2Shell. Präparierte Brotli-Daten können Speicher beschädigen und im schlimmsten Fall Codeausführung ermöglichen.
Welche Versionen sind sicher?
Brotli 1.0.10, 1.1.1 und 1.2.1, Node.js 22.23.4, 24.22.1 und 26.12.1, Bun 1.4.4, .NET 8.0.33, 9.0.22 und 10.0.14, die Python-Pakete brotli 1.2.1 und brotlicffi 1.2.1.0 sowie die gefixten Versionen von Envoy, Istio und Brotli4j. Distributionen portieren den Fix oft ohne neue Versionsnummer zurück, dann zählt das Paket-Changelog.
Bin ich betroffen, wenn ich kein Node.js nutze?
Möglicherweise ja. Der Fehler steckt im Brotli-Decoder selbst, den auch Bun, .NET, Python-Pakete, Envoy, Istio, Java-Bibliotheken, Datenbanken wie ClickHouse und DuckDB, Apache Arrow und FFmpeg mitbringen. Entscheidend ist, ob eine Komponente Brotli-Daten aus nicht vertrauenswürdiger Quelle entpackt.
Wird Brotli2Shell bereits ausgenutzt?
Stand 27. Oktober 2026 ist keine Ausnutzung bei echten Opfern bestätigt. Öffentliche Exploits existieren, und ELLIO meldete Angriffsverkehr auf eigenen Sensoren. Die Lücke steht nicht im KEV-Katalog der CISA. Behandeln Sie erreichbare Systeme trotzdem so, als würden sie angegriffen.
Schützt eine WAF vor Brotli2Shell?
Nur teilweise. WAF-Regeln von Cloudflare, Vercel oder Imperva decken eingehende Requests ab, die Regel von Cloudflare protokolliert standardmäßig nur. Antworten fremder Server, die Ihre Dienste abrufen und entpacken, sieht keine WAF. Der Patch bleibt nötig.
Wo finde ich Details und Unterstützung?
Das ausführliche Lagebild mit Versionsmatrix, Versions-Check, Inventur-Befehlen, 7-Punkte-Plan und FAQ steht unter https://brotli2shell.wiz.vamisec.com/. Dort können Sie auch die Betroffenheitsprüfung von VamiSec anfragen.
Haben Sie Fragen zur IT-Sicherheit Ihres Unternehmens?
Kostenlose Erstberatung →