Brotli-sårbarheten CVE-2026-111497 kan under bestemte forhold føre til minnefeil og mulig fjernkjøring av kode. Feilen berører blant annet Node.js og Envoy, og en rettelse er også tatt inn i Bun 1.4.4. Administratorer bør kontrollere versjonene som faktisk kjører i produksjon og installere sikkerhetsoppdateringene.
Brotli-sårbarhet kan påvirke servere og applikasjoner
Brotli er en komprimeringsalgoritme som brukes til å redusere datamengden som sendes over nettet. Sårbarheten ligger i dekoderen – delen som pakker ut komprimerte data. En spesiallaget Brotli-strøm kan utløse en skriving utenfor et forventet minneområde. Avhengig av programvaren og hvordan den brukes, kan dette føre til krasj, eksponering av data fra minnet eller i verste fall kjøring av angriperstyrt kode.
Feilen ble tatt opp i Node.js-prosjektets sikkerhetsoppdatering 21. oktober. Envoy publiserte et eget sikkerhetsvarsel 23. oktober, og beskriver risikoen som kritisk for berørte oppsett der Brotli-dekoderen er aktivert. Det betyr ikke at alle installasjoner automatisk kan angripes: eksponeringen avhenger blant annet av om programmet behandler komprimerte data som en angriper kan kontrollere.
Hvilke versjoner er berørt?
Node.js
Node.js har publisert sikkerhetsversjonene 22.23.4, 24.22.1 og 26.12.1. Oppgrader til den nyeste sikkerhetsversjonen i den aktuelle hovedserien. Eldre, utgåtte Node.js-serier bør ikke regnes som trygge; flytt arbeidslastene til en støttet versjon.
Kilde: Node.js – sikkerhetsoppdateringer for oktober 2026.
Bun
Bun-prosjektet tok inn en rettelse for Brotli-feilen i Bun 1.4.4. Utviklere som bruker Bun i produksjon, bør oppgradere og bygge eller distribuere applikasjonene på nytt slik at den rettede runtime-versjonen faktisk tas i bruk.
Kilde: Bun-prosjektets oppfølging av CVE-2026-111497.
Envoy Proxy
Envoy oppgir at versjonene 1.39.2, 1.38.5, 1.37.7 og 1.36.11 er berørt når Brotli-dekomprimering er konfigurert. Rettede versjoner er henholdsvis 1.39.3, 1.38.6, 1.37.8 og 1.36.12, i tillegg til 1.40.0.
Kilde: Envoys sikkerhetsvarsel for Brotli-dekoderen.
Dette bør administratorer gjøre
- Kontroller hvilken Node.js-, Bun- eller Envoy-versjon som faktisk kjører i produksjon – også i containere, byggemiljøer og administrerte tjenester.
- Installer sikkerhetsversjonene, bygg containerbilder på nytt og rull ut de oppdaterte arbeidslastene.
- Kontroller proxyer og tjenester som pakker ut Brotli-data, særlig der innholdet kan komme fra eksterne eller ubetrodde kilder.
- Hvis oppdatering ikke kan gjennomføres umiddelbart, vurder midlertidig å deaktivere den berørte Brotli-dekoderingen der det er praktisk mulig, og følg leverandørens råd.
Cyber Security Agency of Singapore anbefaler oppdatering av berørte Node.js-installasjoner og understreker at feilen kan utnyttes når et program pakker ut Brotli-data som en angriper kontrollerer. Se myndighetens sikkerhetsvarsel.
En avhengighet som finnes flere steder
Brotli-sårbarheten viser hvorfor det ikke alltid holder å oppdatere selve applikasjonen: sårbar kode kan ligge i en runtime eller et bibliotek som flere produkter bygger på. Driftsteam bør derfor kontrollere både direkte installasjoner og programvare som følger med plattformen, og verifisere at rettelsen er med etter utrulling.
Dette er samme type utfordring som ved andre kritiske feil i serverprogramvare. Les også Networlds saker om kritiske PHP-sårbarheter som kan gi fjernkjøring av kode og en kritisk Nextcloud-sårbarhet.
Vanlige spørsmål om Brotli-sårbarheten
Hva er CVE-2026-111497?
CVE-2026-111497 er en sårbarhet i Brotli-dekoderen som under bestemte forhold kan føre til minnefeil og mulig fjernkjøring av kode.
Hvilken programvare bør oppdateres?
Kontroller Node.js, Bun og Envoy dersom de brukes i miljøet ditt, og installer rettede versjoner anbefalt av hvert prosjekt.
Er alle servere sårbare?
Nei. Risikoen avhenger av programvareversjonen, konfigurasjonen og om tjenesten behandler Brotli-data som en angriper kan kontrollere.
