CISA将Brotli漏洞CVE-2026-111497列入已利用漏洞目录
美联邦民事机构须在2026年11月10日前完成修复，博通同时确认VMware SDDC Manager受影响。
美国网络安全和基础设施安全局（CISA）于2026年10月27日将Brotli压缩库漏洞CVE-2026-111497列入其“已遭利用漏洞”（KEV）目录，该漏洞被戏称为Node2Shell或Broccoli2Shell。CISA同时要求美国联邦民事机构在2026年11月10日前完成修复。
该漏洞属于Brotli解压缩过程中的越界写入问题，可导致内存损坏、敏感数据泄露和服务中断，在特定条件下可能进一步引发远程代码执行。据dailysecu.com报道，受影响的产品可能包括Node.js、Bun、微软.NET、PowerShell、Envoy Proxy、Istio以及Python Brotli软件包。
受影响的谷歌Brotli版本为1.0.3至1.0.10之前、1.1.0至1.1.1之前，以及1.2.0至1.2.1之前。
VMware产品同样受影响
博通于2026年10月27日发布公告VMSA-2026-0008，确认VMware Cloud Foundation中的SDDC Manager受该漏洞影响。其中SDDC Manager 9.1.1被评为CVSS 9.8，9.0.x、9.1.0和5.2.x被评为CVSS 7.5。截至2026年10月28日，SDDC Manager的完整补丁仍在准备中，厂商已提供临时缓解措施。
加拿大网络安全中心于2026年10月28日单独发布紧急警报，建议对使用Brotli库的软件进行安全检查。红帽公司表示，公开的概念验证代码已演示内存损坏和服务中断，但目前尚无可靠远程代码执行漏洞利用得到公开确认。
此前，韩国互联网振兴院（KISA）已于2026年10月26日针对谷歌Brotli漏洞发布安全更新公告。
快速问答
CVE-2026-111497是什么漏洞？
这是Brotli压缩库中的一个越界写入漏洞，可导致内存损坏、敏感数据泄露和服务中断，在特定条件下可能引发远程代码执行。
哪些产品可能受影响？
可能包括Node.js、Bun、微软.NET、PowerShell、Envoy Proxy、Istio、Python Brotli软件包，以及VMware Cloud Foundation中的SDDC Manager。
修复截止日期是什么时候？
CISA要求美国联邦民事机构在2026年11月10日前完成修复。