CISA تُضيف ثغرة Brotli إلى قائمة الثغرات المستغلة فعلياً

أضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية CISA في 27 أكتوبر 2026 ثغرة CVE-2026-111497 في مكتبة الضغط Brotli، المعروفة بلقب Node2Shell أو Broccoli2Shell، إلى كتالوج الثغرات المعروفة باستغلالها فعلياً، وحددت 10 نوفمبر 2026 موعداً نهائياً للإصلاح لدى الوكالات الفيدرالية المدنية الأمريكية.

وبحسب dailysecu.com، فإن الثغرة عبارة عن كتابة خارج الحدود في عملية فك ضغط Brotli قد تؤدي إلى إفساد الذاكرة وكشف بيانات حساسة وتعطّل الخدمة، وقد تفضي في ظروف معينة إلى تنفيذ تعليمات برمجية عن بُعد.

وتشمل المنتجات المرشحة للتأثر Node.js وBun وMicrosoft .NET وPowerShell وEnvoy Proxy وIstio وحزمة Brotli للغة Python. أما إصدارات Google Brotli المتأثرة فهي من 1.0.3 إلى ما قبل 1.0.10، ومن 1.1.0 إلى ما قبل 1.1.1، ومن 1.2.0 إلى ما قبل 1.2.1.

تحذيرات متزامنة وإصدارات متأثرة

وأصدرت Broadcom في 27 أكتوبر 2026 الاستشارة VMSA-2026-0008 التي أفادت فيها بتأثر SDDC Manager ضمن VMware Cloud Foundation، حيث صُنّف SDDC Manager 9.1.1 بدرجة CVSS بلغت 9.8، بينما صُنّفت الإصدارات 9.0.x و9.1.0 و5.2.x بدرجة 7.5. وحتى 28 أكتوبر 2026 كان الترقيع الكامل لـ SDDC Manager لا يزال قيد الإعداد مع توفير تدابير تخفيف مؤقتة.

وفي 28 أكتوبر 2026 أصدر المركز الكندي للأمن السيبراني تنبيهاً عاجلاً منفصلاً أوصى فيه بإجراء فحوص أمنية للبرمجيات التي تستخدم مكتبة Brotli. وكانت KISA قد نشرت في 26 أكتوبر 2026 استشارة تحديث أمني تخص ثغرة Google Brotli.

وقالت Red Hat إن شيفرة إثبات концепт متاحة للعموم أظهرت إفساد الذاكرة وتعطّل الخدمة، لكن لم يُؤكَّد علناً أي استغلال موثوق لتنفيذ تعليمات برمجية عن بُعد.