CISA ajoute la faille Brotli CVE-2026-111497 à son catalogue KEV
L'agence fixe au 10 novembre 2026 l'échéance de remédiation pour les agences fédérales civiles américaines ; Broadcom signale VMware SDDC Manager comme affecté.
La CISA a inscrit la faille CVE-2026-111497, une vulnérabilité de la bibliothèque de compression Brotli surnommée Node2Shell ou Broccoli2Shell, à son catalogue des vulnérabilités exploitées connues (KEV) le 27 octobre 2026, selon dailysecu.com. L'agence a fixé au 10 novembre 2026 l'échéance de remédiation pour les agences fédérales civiles américaines.
Il s'agit d'une écriture hors limites lors de la décompression Brotli, qui peut provoquer une corruption de la mémoire, l'exposition de données sensibles et une interruption de service, et pourrait conduire à une exécution de code à distance dans certaines conditions. Les versions Google Brotli concernées sont 1.0.3 à avant 1.0.10, 1.1.0 à avant 1.1.1 et 1.2.0 à avant 1.2.1.
Parmi les produits potentiellement affectés figurent Node.js, Bun, Microsoft .NET, PowerShell, Envoy Proxy, Istio et le paquet Python Brotli. Broadcom a indiqué le 27 octobre 2026, dans l'avis VMSA-2026-0008, que SDDC Manager dans VMware Cloud Foundation est touché : SDDC Manager 9.1.1 est noté CVSS 9.8, tandis que les versions 9.0.x, 9.1.0 et 5.2.x sont notées CVSS 7.5. Au 28 octobre 2026, un correctif complet pour SDDC Manager était encore en préparation, des mesures d'atténuation intermédiaires étant proposées.
Red Hat a précisé qu'un code de preuve de concept public démontrait la corruption de mémoire et l'interruption de service, mais qu'aucun exploit fiable d'exécution de code à distance n'a été publiquement confirmé.
Alertes au Canada et en Corée
Le Centre canadien pour la cybersécurité a publié le 28 octobre 2026 une alerte urgente distincte recommandant des vérifications de sécurité pour les logiciels utilisant la bibliothèque Brotli. En amont, le 26 octobre 2026, la KISA avait publié un avis de mise à jour de sécurité sur la faille Google Brotli.
En bref
Qu'est-ce que la faille CVE-2026-111497 ?
C'est une écriture hors limites dans la décompression de la bibliothèque Brotli, surnommée Node2Shell ou Broccoli2Shell, qui peut provoquer une corruption de mémoire, l'exposition de données sensibles et une interruption de service.
Quelle est l'échéance fixée par la CISA ?
La CISA a fixé au 10 novembre 2026 la date limite de remédiation pour les agences fédérales civiles américaines.
VMware SDDC Manager est-il affecté ?
Oui. Broadcom a indiqué dans l'avis VMSA-2026-0008 que SDDC Manager dans VMware Cloud Foundation est affecté ; un correctif complet était encore en préparation au 28 octobre 2026.