HTTP2Shell: критическая уязвимость в декодере Brotli CVE-2026-111497

В декодере Brotli 1.0.3–1.2.0 нашли out-of-bounds write с оценкой CVSS 9.2, получивший имя HTTP2Shell (ранее Node2Shell). Уязвимость позволяет вызвать сбой, раскрытие памяти и удалённое выполнение кода; исправление в Brotli 1.2.1, Node.js 22.23.4/24.22.1/26.12.1 и Bun 1.4.4.

• CVSS 9.2: out-of-bounds write в DecodeBlockTypeAndLength в Brotli 1.0.3–1.2.0
• Исправлено в Brotli 1.2.1, brotlicffi 1.2.1.0, Node.js 22.23.4/24.22.1/26.12.1, Bun 1.4.4
• pip-audit, Dependabot и Safety не помечали уязвимые Python-пакеты до маппинга CVE
• Триггер — декодирование Content-Encoding: br от недоверенного источника