Die US-Behörde CISA hat am 27. Oktober zwei kritische Schwachstellen in ihren Katalog bekanntermaßen ausgenutzter Lücken (KEV) aufgenommen, und die Paarung erzählt fast alles darüber, wie schnell aus einem Bibliotheksfehler ein operativer Notfall wird: die eine ist ein Out-of-Bounds-Write im Brotli-Decoder von Google, die andere ein uneingeschränkter Datei-Upload in Adobe Commerce und Magento. Bundesbehörden haben bis zum 10. November Zeit. Alle anderen sollten sich beeilen.

Der Decoder, nicht die Laufzeit

CVE-2026-111497 (CVSS 9.2) wurde mit dem Node.js-Sicherheitsrelease vom 21. Oktober bekannt. Die Ursache liegt nach Darstellung der JFrog-Forscher in der Fehlerbehandlung der Block-Switch-Verarbeitung des Decoders: Ein ungültiger Block-Switch wird so behandelt, als brauche der Decoder mehr Eingabe, sodass die Dekodierung mit ungültigem Zustand fortgesetzt wird und über den vorgesehenen Puffer hinausschreibt. Die Folge kann ein Absturz, die Offenlegung von Prozessspeicher oder in engen Konfigurationen die Ausführung von beliebigem Code sein.

Die Namensgebung erzählt die Woche. Imperva demonstrierte am 22. Oktober RCE gegen einen verwundbaren Node.js-Build und nannte es Node2Shell. Einen Tag später, als klar wurde, dass der Fehler nicht Node-spezifisch ist, hieß es HTTP2Shell. Zum Wochenende wurde daraus Broccoli2Shell, weil der verwundbare Code im Brotli-Decoder steckt, den Dutzende Ökosysteme einbinden oder mitliefern. Es war nie ein Node.js-Fehler.

Gemeldet wurde die Lücke von Khai Tran und Sylvie Mayer von OpenAI Codex Security.

Wo sie tatsächlich hinreicht

Behobene Versionen: Node.js 22.23.4, 24.22.1 und 26.12.1; Upstream-Brotli 1.0.10, 1.1.1 und 1.2.1. Stromabwärts wächst die Liste: PHP 8.2.35-1 bis 8.5.12-1, Bun, .NET, Envoy Proxy, Istio, die Python-Pakete brotli und brotlicffi, das Ruby-Gem brotli, ClickHouse, Apache Arrow sowie Distributionen und Appliances von Red Hat, Ubuntu, Cisco, Fortinet, F5, Palo Alto Networks und anderen.

Die JFrog-Analyse ist die nützliche Korrektur zur reinen Versionsprüfung. Die Forscher erreichten den Decoder über Wege ohne jeden HTTP-Bezug: Eine präparierte JPEG-XL-Datei, in der libjxl Brotli-Metadaten in der brob-Box entpackt, liefert FFmpeg Speicherkorruption und Kontrolle über den Instruktionszeiger (im Test 0x414141414141); ein 23 MB großer Request-Body mit Content-Encoding: br bringt ClickHouse beim Aufräumen zum Segfault; eine 534 Byte große Parquet-Nutzlast schickt pyarrow in eine Endlosschleife. Brotli kommt über transitive Abhängigkeiten, Systembibliotheken und mitgelieferte Kopien — ein SBOM-Eintrag „brotli 1.1.0“ ist ein Anfang, keine Antwort.

Dringend machen es die Expositionsschätzungen. Wiz beziffert 91 Prozent der Cloud-Umgebungen mit Ressourcen, die für CVE-2026-111497 verwundbar sind, und 82 Prozent mit öffentlich erreichbaren Node.js-Instanzen. Sysdigs Formulierung ist die richtige für die Patch-Planung: Es ist kein Fehler in jedem Node.js-Dienst, sondern in Diensten, die angreiferbeeinflusstes Brotli dekodieren — und die Standard-JSON-Verarbeitung von Express 5 bringt sehr viele davon in diese Gruppe.

Ausnutzung ist nicht theoretisch

ELLIO meldete Sensoren, die Exploit-Verkehr mit einem funktionierenden Node2Shell-Exploit für Node v24.22.0 aufzeichneten, von einer in den Niederlanden verorteten IP, die auch PHP2Shell angegriffen hat. Previdian verzeichnete am 27. Oktober einen Honeypot-Versuch von einer US-Adresse. Imperva, JFrog und andere haben nicht nur Abstürze, sondern Codeausführung gezeigt.

Die andere Hälfte des KEV-Eintrags ist älter und leiser. CVE-2026-48356 (CVSS 9.3) ist der uneingeschränkte Upload in Magento und Adobe Commerce, den Sansec als PolyShell führt. Adobe hat ihn im Juli behoben; Sansec zufolge hat ein einzelner Akteur damit — oft verkettet mit SessionReaper, CVE-2025-54236 — seit Juli 2025 insgesamt 953 Shops kompromittiert und einen Loader in Magento-CMS-Blöcken platziert, der Scans von echten Käufern unterscheidet und die Nutzlast nur letzteren ausliefert. Eine zweite Stufe wurde nie geborgen, das Ziel der Kampagne bleibt unklar. Beruhigend ist das nicht.

Das Tempo-Problem

Der diese Woche veröffentlichte Q3-Bericht von Rapid7 nennt drei Tage als mittleren Abstand zwischen Bekanntgabe und erstem Ausnutzungsversuch; 71 Prozent der beobachteten Versuche fallen in die erste Woche. Eine 9.2 in einer Kompressionsbibliothek, die praktisch überall mitgeliefert wird, samt öffentlichem Exploit passt genau auf diese Kurve. Das Patch-Fenster ist nicht die CISA-Frist, sondern das Wochenende.

Was zu tun ist, in dieser Reihenfolge: Dienste finden, die nicht vertrauenswürdiges Brotli dekodieren (Request-Bodies, fetch()-Antwortdekompression, JPEG-XL- und Parquet-Pfade, .NET BrotliStream); Laufzeit oder Bibliothek aktualisieren; mitgelieferte Kopien prüfen, die der Scanner nicht sieht; und jeden internetseitig erreichbaren Node-Dienst, der seit dem 21. Oktober Brotli dekodiert hat, als möglicherweise kompromittiert behandeln statt nur als ungepatcht.

Quellen