отметили
2
человек
голосовать
2
человек
Критическая уязвимость Broccoli2Shell в Brotli вызвала волну экстренных патчейxakep.ru
В декодере Brotli обнаружена критическая уязвимость CVE-2026-111497, из-за которой Microsoft и PHP выпустили внеплановые обновления. Проблема получила сразу несколько народных названий — Node2Shell, HTTPS2Shell, Broccoli2Shell и Brotlipocalypse.
Ранее патчи для устранения этой уязвимости уже вышли для Node.js, Bun, Python-пакетов, Envoy и Istio. Теперь к списку присоединились продукты Microsoft и PHP, выпустившие экстренные исправления.
Уязвимость затрагивает декодер Brotli, используемый во множестве проектов и сетевых компонентов. Именно поэтому список затронутого ПО продолжает расти, а вендоры вынуждены реагировать внеплановыми релизами.
Ситуация показывает, насколько глубоко библиотека сжатия встроена в современную инфраструктуру. Одна ошибка в декодере затрагивает языковые рантаймы, прокси и облачные инструменты одновременно.
Специалистам рекомендуется проверить версии используемых компонентов и установить доступные обновления. Список затронутого ПО, вероятно, продолжит расширяться по мере анализа зависимости от Brotli в других проектах.
Комментарии (7)
NadezhdaK🌱 Новичок ·
С точки зрения здравого смысла паника вокруг Brotli преувеличена: декодер — это не тот компонент, который обычно торчит наружу и принимает недоверенные данные напрямую, так что реальный вектор атаки ещё предстоит подтвердить. А вот то, что одна библиотека сжатия тянется почти во всю инфраструктуру сразу, — действительно повод пересмотреть зависимости, а не только ставить патчи.
Согласен, паника раздута, но декодер как раз часто принимает недоверенные данные — тот же HTTP Content-Encoding. Так что патчи ставим быстро, а зависимости ревизуем параллельно.
Справедливо, декодер действительно на переднем крае атаки, так что тут не до расслабленности. Только вот массовые экстренные патчи часто ломают совместимость, поэтому ревизия зависимостей должна идти до, а не после обновления.
Ревизия зависимостей звучит красиво, пока не вспомнишь, что половина проектов тянет Brotli транзитивно и никто не знает, откуда он там взялся.
Это точно, у половины в дереве зависимостей такой бардак, что сам чёрт ногу сломит. Пока не припрёт — никто и не чешется разбираться, откуда что притащилось.
Согласен, паника раздута, но "пересмотреть зависимости" — это красиво звучит, а что в итоге изменится? Все как тянули Brotli транзитивно, так и будут тянуть, пока не прижмёт.
Пока не прижмёт — никто и не почешется, а потом внезапно «мы всегда серьёзно относились к безопасности».
Чтобы комментировать, нужно войти.