CVE-2026-111497: Node2Shell Kini Jadi HTTP2Shell
Judul asli: Node2Shell evolves to HTTP2Shell, blast radius affects many HTTP libs and apps
Mengapa Ini Penting
Brotli dipakai luas di HTTP — satu celah bisa menyentuh jutaan aplikasi.
Celah Brotli CVE-2026-111497 yang awalnya menyerang Node.js kini meluas ke Python dan banyak library HTTP lain. Patch belum sepenuhnya tersedia per 23 Oktober 2026.
Apa yang mulanya dikenal sebagai 'Node2Shell' kini berkembang menjadi ancaman yang lebih luas: HTTP2Shell. Rabu, 21 Oktober 2026, Node.js mengungkap CVE-2026-111497 — celah pada library kompresi Brotli milik Google. Proses Node.js yang mendekompresi data Brotli dari penyerang bisa bocor memori atau menjalankan kode arbitrer.
Sehari kemudian, Python mengonfirmasi paket-paketnya juga rentan terhadap CVE yang sama. Jumat, 23 Oktober, diketahui bahwa celah ini menjangkau bahasa pemrograman lain dan aplikasi layanan yang menggunakan HTTP — memperluas 'blast radius' secara signifikan. Patch belum sepenuhnya tersedia untuk semua platform yang terdampak.
Aikido Security merekomendasikan agar pengembang segera memeriksa apakah Brotli digunakan sebagai dependensi dalam library mereka. Jika patch belum ada, mereka menyarankan untuk menonaktifkan Brotli decoding sementara waktu dan bersiap melakukan upgrade sesegera mungkin.