CISA 27 Ekim'de iki kritik açığı Known Exploited Vulnerabilities (KEV) kataloğuna ekledi. İkilinin yan yana durması, bir kütüphane hatasının ne kadar hızlı operasyonel bir acil duruma dönüştüğünü özetliyor: biri Google'ın Brotli decoder'ındaki bellek dışına yazma, diğeri Adobe Commerce ve Magento'daki sınırsız dosya yükleme açığı. Federal sivil kurumların 10 Kasım'a kadar yama uygulaması gerekiyor. Diğer herkesin daha hızlı hareket etmesi gerekiyor.

Sorun çalışma zamanında değil, decoder'da

CVE-2026-111497 (CVSS 9.2) Node.js'in 21 Ekim güvenlik sürümüyle duyuruldu. JFrog araştırmacılarına göre kök neden, decoder'ın block-switch işlemesindeki hata yönetimi: geçersiz bir block switch "daha fazla girdi gerekiyor" olarak yorumlanıyor, böylece çözme işlemi geçersiz durumla devam ediyor ve hedeflenen tamponun ötesine yazıyor. Sonuç çökme, süreç belleğinin ifşası veya dar yapılandırmalarda uzaktan kod çalıştırma olabiliyor.

Adlandırma haftanın hikâyesini anlatıyor. Imperva 22 Ekim'de savunmasız bir Node.js derlemesinde RCE gösterdi ve buna Node2Shell dedi. Bir gün sonra, açığın Node'a özgü olmadığı anlaşılınca adı HTTP2Shell oldu. Hafta sonuna gelindiğinde Broccoli2Shell'e dönüştü: savunmasız kod, düzinelerce ekosistemin bağladığı veya içine gömdüğü Brotli decoder'ında duruyordu. Bu hiçbir zaman bir Node.js hatası değildi.

Açığı OpenAI Codex Security araştırmacıları Khai Tran ve Sylvie Mayer bildirdi.

Gerçekte nereye ulaşıyor

Düzeltilmiş sürümler: Node.js 22.23.4, 24.22.1 ve 26.12.1; upstream Brotli 1.0.10, 1.1.1 ve 1.2.1. Aşağı havuzda liste büyümeye devam ediyor: PHP 8.2.35-1'den 8.5.12-1'e, Bun, .NET, Envoy Proxy, Istio, Python'un brotli ve brotlicffi paketleri, Ruby brotli gem'i, ClickHouse, Apache Arrow; ayrıca Red Hat, Ubuntu, Cisco, Fortinet, F5 ve Palo Alto Networks'ün dağıtımları ve cihazları.

JFrog'un analizi, yalnızca sürüm taramasına dayanmanın neden yetmediğini gösteriyor. Araştırmacılar decoder'a HTTP ile ilgisi olmayan yollardan da ulaştı: libjxl'in JPEG XL konteynerindeki brob kutusunda Brotli meta verisini açtığı hazırlanmış bir dosya FFmpeg'de bellek bozulması ve talimat işaretçisi kontrolü veriyor (testlerinde 0x414141414141); Content-Encoding: br ile gönderilen 23 MB'lık bir istek gövdesi ClickHouse'u temizlik aşamasında segfault'a düşürüyor; 534 baytlık bir Parquet yükü pyarrow'u sonsuz döngüye sokuyor. Brotli geçişli bağımlılıklarla, sistem kütüphaneleriyle ve gömülü kopyalarla geliyor; yani SBOM'daki "brotli 1.1.0" satırı bir başlangıç noktası, cevap değil.

Acil olmasının nedeni maruziyet tahminleri. Wiz, bulut ortamlarının %91'inde CVE-2026-111497'ye karşı savunmasız kaynak bulunduğunu, %82'sinde herkese açık Node.js örnekleri çalıştığını söylüyor. Sysdig'in çerçevesi yama planlaması için doğrusu: bu her Node.js servisinde değil, saldırgan etkisindeki Brotli verisini çözen servislerde bir hata — ve Express 5'in varsayılan JSON ayrıştırması bunların büyük bir kısmını o gruba sokuyor.

Sömürü teorik değil

ELLIO, sensörlerinin Node v24.22.0 için çalışan bir Node2Shell exploit'i taşıyan trafiği kaydettiğini bildirdi; kaynak IP Hollanda'da ve PHP2Shell saldırılarında da görülmüş. Previdian 27 Ekim'de ABD adresinden bir honeypot denemesi kaydetti. Imperva, JFrog ve diğerleri yalnızca çökme değil kod çalıştırma da gösterdi.

KEV kaydının diğer yarısı daha eski ve daha sessiz. CVE-2026-48356 (CVSS 9.3), Sansec'in PolyShell adıyla izlediği Magento ve Adobe Commerce sınırsız dosya yükleme açığı. Adobe bunu Temmuz'da düzeltti; Sansec, tek bir aktörün bu açığı (çoğu zaman SessionReaper, CVE-2025-54236 ile zincirleyerek) Temmuz 2025'ten bu yana 953 mağazayı ele geçirmek için kullandığını söylüyor: Magento CMS bloklarına yerleştirilen bir yükleyici, tarayıcıları gerçek alışverişçilerden ayırıyor ve yükü yalnızca ikincisine sunuyor. İkinci aşama bir zararlı ele geçirilemediği için kampanyanın amacı hâlâ belirsiz. Bu pek de rahatlatıcı değil.

Tempo sorunu

Bu hafta yayımlanan Rapid7'nin üçüncü çeyrek raporu, açıklamadan ilk sömürü denemesine kadar geçen medyan süreyi üç gün olarak veriyor; gözlenen sömürü denemelerinin %71'i ilk hafta içinde gerçekleşiyor. Her şeyin içinde gelen bir sıkıştırma kütüphanesinde, kamuya açık exploit ile birlikte 9.2'lik bir açık tam bu eğriye oturuyor. Yama penceresi CISA'nın son tarihi değil; hafta sonu.

Sırayla yapılması gerekenler: güvenilmeyen Brotli verisini çözen servisleri bulun (istek gövdeleri, fetch() yanıt açma, JPEG XL ve Parquet yolları, .NET BrotliStream); çalışma zamanını veya kütüphaneyi yükseltin; tarayıcınızın görmediği gömülü kopyaları kontrol edin; 21 Ekim'den beri internetten erişilebilir ve Brotli çözen her Node servisini "yamalanmamış" değil "ele geçirilmiş olabilir" kabul edin.

Kaynaklar