Уязвимость Brotli CVE-2026-111497 угрожает Node.js и другим проектам

В библиотеке сжатия Brotli нашли уязвимость CVE-2026-111497 (Node2Shell/Brotli2Shell) — out-of-bounds write с удалённым выполнением кода. Исправление закоммитили в феврале 2026 года, но релизы 1.2.1, 1.1.1 и 1.0.10 вышли только на прошлой неделе; Node.js закрыл дыру в версиях 26.12.1, 24.22.1 и 22.23.4.

• CVE-2026-111497 — out-of-bounds write в декодере Brotli, ведёт к RCE
• Фикс закоммичен 27 февраля 2026 года, релизы вышли лишь на прошлой неделе
• Затронуты Node.js 26.x, 24.x, 22.x, а также .NET, Bun, Envoy, FFmpeg
• Публичные PoC уже используют в атаках с IP 94.154.43.7