Kerentanan Kritis Decoder Brotli 'Node2Shell' Menjangkiti Node.js, Bun, dan Python

Kerentanan kritis dengan nomor CVE-2026-111497, berupa out-of-bounds write pada decoder Brotli milik Google dengan skor CVSS 4.0 sebesar 9,2, terkonfirmasi menyerang Node.js 22/24/26, Bun hingga 1.4.3, serta paket Python brotli dan brotlicffi. Data terkompresi buatan penyerang dapat menimpa buffer memori dan berujung crash, kebocoran memori, atau remote code execution. Peneliti Imperva mendemonstrasikan eksekusi kode yang berfungsi pada Node.js 24.22.0 yang belum dipatch. Versi perbaikan meliputi Brotli 1.0.10/1.1.1/1.2.1, Node.js 22.23.4/24.22.1/26.12.1, Bun 1.4.4, dan Python brotli/brotlicffi 1.2.1 ke atas.

Kerentanan ini ditemukan tim Codex Security OpenAI saat red-teaming agentic dan diungkap pada 21 Oktober; perbaikan akarnya sebenarnya sudah ada di source Brotli sejak Februari tetapi tidak pernah dirilis ke upstream selama delapan bulan. Karena setiap produk meng-embed salinan decoder sendiri di runtime masing-masing, semua proyek turunan harus melakukan patch secara terpisah dan berurutan. CISA menilai pada 23 Oktober bahwa belum ada eksploitasi in-the-wild, namun PoC teknis sudah beredar publik.