Im Einzelnen handelt es sich um:

  • CVE-2026-111497 (CVSS 9.2) – ein nicht geprüfter Rückgabewert in Google Brotli. Ein nicht authentifizierter Angreifer aus der Ferne kann mit einem präparierten Brotli-komprimierten Datenstrom benachbarten Speicher des Decoder-Zustands beschädigen, sensible Speicherinhalte offenlegen, einen Denial-of-Service auslösen oder womöglich beliebigen Code ausführen.
  • CVE-2026-48356 (CVSS 9.3) – ein uneingeschränkter Upload von Dateien gefährlichen Typs in Adobe Commerce und Magento, der beliebige Codeausführung im Kontext des aktuellen Nutzers erlaubt und bis zur Kontrolle über Konto oder Sitzung des Opfers führen kann.

Sansec beobachtete wenige Tage zuvor Angreifer, die CVE-2026-48356 – auch PolyShell genannt – ausnutzten, um über einen Magento-CMS-Block einen bösartigen Loader in Hunderte E-Commerce-Shops einzuschleusen. Der Loader soll eine vom Angreifer kontrollierte Schadkomponente nachladen und ausführen; eine Folgestufe wurde bislang nicht sichergestellt, weshalb die Ziele der Kampagne unklar bleiben. Die Aktivität läuft der Einschätzung nach mindestens seit Juli 2025.

Für die Brotli-Lücke, die auch unter den Namen Broccoli2Shell, HTTP2Shell und Node2Shell geführt wird, verzeichnete das Threat-Intelligence-Unternehmen Previdian mit Stand 27. Oktober 2026 einen Ausnutzungsversuch gegen seine Honeypot-Sensoren, ausgehend von einer US-amerikanischen IP-Adresse. Ob die Versuche breiter angelegt sind, ist offen.

Rapid7 erklärte: „Ein Angreifer, der Brotli-Daten liefern kann, die eine Anwendung mit node:zlib dekomprimiert, kann den Prozessspeicher beschädigen." Nach Angaben von Node.js könne das zu einem Prozessabsturz, zur Offenlegung sensibler Prozessspeicherinhalte oder zu Remote Code Execution führen. Die Angriffsfläche hänge davon ab, ob eine Anwendung vom Angreifer kontrollierte komprimierte Daten an den betroffenen Decoder weiterreicht.

ELLIO meldete am Montag, die eigenen Sensoren hätten „Exploit-Verkehr zu CVE-2026-111497 in freier Wildbahn aufgezeichnet, der den öffentlichen Exploit transportiert, von dem wir bestätigt haben, dass er auf verwundbaren Builds eine Shell liefert". Der Verkehr stammt von der IP-Adresse 94.154.43[.]7, geolokalisiert in den Niederlanden, die zuvor auch Angriffe auf PHP2Shell unternommen hat – zwei kritische PHP-Schwachstellen, die unauthentifizierte Codeausführung aus der Ferne ermöglichen. „Die Nutzlast des Angreifers ist ein echter, korrekt strukturierter Node2Shell-Ausnutzungsversuch für Node v24.22.0 – der Brotli-Stream, die gestaffelte Verschiebung, das Pivot-Paar und die Auslieferung sind allesamt korrekt und identisch mit dem öffentlichen Werkzeug", so ELLIO. Das deute darauf hin, dass die RCE von einem auf Massenausnutzung ausgerichteten Akteur übernommen worden sei.

Da Brotli als weit verbreitete Open-Source-Bibliothek in zahlreichen Projekten steckt, hat die Lücke eine Notfallreaktion ausgelöst: Zahlreiche Hersteller veröffentlichten Patches oder prüfen die Betroffenheit ihrer Produkte. PHP lieferte die Versionen 8.5.12-1, 8.4.27-1, 8.3.36-1 und 8.2.35-1 aus. Ebenfalls reagiert haben unter anderem Node.js, Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, die PHP-Brotli-Erweiterung und das Ruby-Gem „brotli". Hinweise liegen zudem von Amazon Linux, Broadcom, Cisco, Cloudflare, CloudLinux, F5, Fortinet, Imperva, Microsoft Azure, Palo Alto Networks, Qualys, Red Hat, Safe Security, Strapi, Tanium, Tenable, Ubuntu und Upwind vor.

„Node.js hat die Schwachstelle in den Versionen 22.23.4, 24.22.1 und 26.12.1 behoben", so Akamai. Der Node.js-Hinweis nenne keinen Workaround, ein Upgrade sei daher die einzige vollständige Abhilfe; Organisationen auf eingestellten Release-Linien sollten auf eine unterstützte Linie wechseln.

Das zu Google gehörende Unternehmen Wiz warnte, „91 % der Cloud-Umgebungen verfügen über Ressourcen, die für CVE-2026-111497 anfällig sind, und 82 % der Cloud-Umgebungen haben öffentlich exponierte Node.js-Instanzen".

Sysdig ordnete ein: „Node2Shell ist kein Fehler in jedem Node.js-Dienst, sondern ein Fehler in Diensten, die vom Angreifer beeinflusstes Brotli dekodieren." Express 5 mit standardmäßigem JSON-Parsing bringe sehr viele Instanzen in diese Gruppe. Die bislang nachgewiesene Wirkung seien Abstürze in großem Maßstab und Codeausführung in einer eng umrissenen Konfiguration – die Patch-Reihenfolge solle sich daher an der Erreichbarkeit orientieren.

Behörden der US-Bundesverwaltung (FCEB) müssen die Korrekturen für beide Schwachstellen bis zum 10. November 2026 einspielen.