HTTP2Shell : la faille Brotli touche tout HTTP
Original : Node2Shell evolves to HTTP2Shell, blast radius affects many HTTP libs and apps
Pourquoi c'est important
Brotli est omniprésent dans les stacks HTTP modernes, tous langages confondus.
CVE-2026-111497, d'abord limitée à Node.js, s'étend aux packages Python et à de nombreuses bibliothèques HTTP. Exécution de code arbitraire possible via décompression Brotli. Patches indisponibles pour plusieurs libs.
Ce qui avait commencé comme une vulnérabilité Node.js s'est rapidement transformé en menace transversale. Le 21 octobre, Node.js divulguait CVE-2026-111497, surnommée « Node2Shell » : tout processus Node décompressant des données Brotli contrôlées par un attaquant peut fuir de la mémoire ou exécuter du code arbitraire. Le lendemain, Python confirmait être également touché. Le 23 octobre, le périmètre s'élargissait encore — d'autres langages et applications utilisant HTTP sont concernés, sans que des correctifs soient disponibles pour tous.
Brotli est une bibliothèque de compression signée Google, massivement adoptée dans les stacks web modernes. Sa présence quasi universelle comme dépendance HTTP explique l'ampleur du « blast radius ». Les chercheurs d'Aikido recommandent de vérifier si Brotli figure parmi vos dépendances directes ou transitives, et de désactiver le décodage Brotli si aucun patch n'est disponible pour la bibliothèque ou l'application concernée.