HTTP2Shell: Nicht nur Node.js, sondern jede verwundbare Brotli-Kopie zählt.

Node.js veröffentlichte am 21. Oktober 2026 Sicherheitsupdates für CVE-2026-111497. Die Schwachstelle ist ein Out-of-Bounds-Write im gebündelten Brotli-Decoder. Präparierte Brotli-Daten können Prozessspeicher beschädigen und nach Angaben der Hersteller bis hin zu Remote Code Execution führen.

Der Fehler liegt jedoch nicht im HTTP/2-Protokoll und nicht ausschließlich in Node.js. Betroffen ist die zugrunde liegende Brotli-C-Bibliothek. Deshalb kann dieselbe Schwachstelle auch in anderer Software relevant sein, wenn dort eine verwundbare Brotli-Kopie eingebettet ist und nicht vertrauenswürdige Daten dekodiert werden.

Nach der ersten Node.js-Veröffentlichung folgten weitere bestätigte Betroffenheiten und Fixes. Dazu gehören unter anderem die Python-Pakete Brotli und brotlicffi, Bun, Envoy mit aktiviertem Brotli-Decompressor und Brotli4j. Die konkrete Betroffenheit hängt jeweils davon ab, welche Version tatsächlich eingebettet oder geladen wird.

Damit reicht eine Inventur nach Produktnamen nicht aus. Container, Appliances, Standalone-Binaries, gebündelte Laufzeiten und Anwendungen können eigene Brotli-Kopien mitbringen. Ein aktualisiertes Betriebssystempaket beweist deshalb nicht automatisch, dass jeder tatsächlich laufende Decoder ebenfalls gefixt ist.

Sicherheitsforscher haben Remote Code Execution gegen eine verwundbare offizielle Node.js-Version in einer kontrollierten Testumgebung reproduziert. Der entsprechende gefixte Node.js-Stand weist denselben präparierten Brotli-Input zurück. Damit ist die mögliche Auswirkung praktisch belegt und nicht nur aus dem Speicherfehler abgeleitet.

Daraus folgt jedoch nicht, dass jede Anwendung mit einer verwundbaren Brotli-Kopie identisch ausnutzbar ist. Entscheidend bleiben der konkrete Decoder, die Prozessumgebung und vor allem die Frage, ob ein Angreifer tatsächlich kontrollierte Brotli-Daten bis zu diesem Dekompressionspfad bringen kann.

Für die Brotli-C-Bibliothek enthalten 1.0.10, 1.1.1 und 1.2.1 den Fix. Node.js hat die unterstützten Linien mit 22.23.4, 24.22.1 und 26.12.1 aktualisiert. Für andere Laufzeiten und eingebettete Kopien gelten deren jeweilige Hersteller-Releases und Backports.

Wo ein Update nicht sofort möglich ist, sollte der erreichbare Dekompressionspfad reduziert werden, etwa indem Brotli-Daten aus nicht vertrauenswürdigen Quellen nicht mehr angenommen oder automatisch dekodiert werden. Das ersetzt den Fix nicht und muss zur tatsächlichen Architektur des betroffenen Systems passen.

HTTP2Shell zeigt, warum Komponenteninventar und Laufzeitinventar nicht dasselbe sind. Derselbe verwundbare Decoder kann über unterschiedliche Produkte, Bindings und eingebettete Abhängigkeiten in eine Umgebung gelangen.

Belastbar wird die Aussage erst, wenn für den relevanten Prüfbereich bekannt ist, welche konkrete Implementierung läuft, ob ein angreifbarer Datenpfad existiert und welcher technische Nachweis den Zustand nach der Remediation bestätigt.

Wenn nach jeder neuen Herstellerwarnung erneut gesucht werden muss, welche eingebetteten Bibliotheken tatsächlich vorhanden sind, bleibt die Reaktionszeit von externen Produktlisten abhängig. Eine belastbare technische Bestandsaufnahme verkürzt diesen Weg.

Für HTTP2Shell zählt deshalb nicht die Zahl bekannter betroffener Produkte, sondern wie schnell sich für die eigene Umgebung beantworten lässt: Wo läuft verwundbares Brotli, ist der Decoder erreichbar und ist der gefixte Zustand anschließend nachweisbar aktiv?