Falha no Brotli exige revisar aplicativos e servidores além do Node.js

O risco está na leitura de dados comprimidos

Identificada como CVE-2026-111497, a vulnerabilidade permite que uma entrada Brotli malformada corrompa a memória do processo. O aviso do Node.js classifica o problema como de gravidade alta e aponta as linhas 22, 24 e 26.

A exposição depende de o software encaminhar dados controlados por um atacante ao decodificador vulnerável. Isso pode acontecer ao processar requisições, respostas de servidores ou arquivos comprimidos. A presença do nome Brotli, sozinha, não comprova que uma instalação seja explorável.

Fontes desta seção: [1] [2]

Quais atualizações conferir

Para Node.js, as versões corrigidas indicadas são 22.23.4, 24.22.1 e 26.12.1. O projeto recomenda manter uma linha com suporte. No Brotli original, o relatório lista correções em 1.0.10, 1.1.1 e 1.2.1, conforme a ramificação usada.

Bun 1.4.4 também aparece na lista. Envoy Proxy e Istio merecem verificação quando configurados para descomprimir Brotli. Quem administra esses serviços deve consultar a versão corrigida da sua linha no relatório, em vez de presumir que qualquer atualização recente já inclua a solução.

Fontes desta seção: [1] [2] [3]

Atualizar a máquina pode não atualizar o aplicativo

A orientação dos pesquisadores é reconstruir e reiniciar os serviços ou programas que levam o componente vulnerável dentro do próprio pacote. A cobertura do PC Watch reforça que o alcance vai além do runtime instalado separadamente.

Enquanto a correção não chega ao serviço afetado, o relatório orienta bloquear a descompressão Brotli de dados não confiáveis. Desligar apenas a compressão das respostas no servidor ou na CDN não elimina todos os caminhos de decodificação. A mudança deve ser avaliada pelo responsável técnico do sistema.

Fontes desta seção: [2] [4]

Olhar do Garimpanda

Nossa interpretação é que este caso mostra o limite de conferir apenas o número da versão principal de um computador. Para quem mantém sites, automações ou ferramentas de trabalho, importa identificar qual cópia da biblioteca cada serviço realmente executa. Para o usuário de aplicativos prontos, acompanhar as atualizações do próprio fornecedor continua sendo a medida prática. O Garimpanda não realizou testes de exploração nem uma auditoria dos sistemas dos leitores.