Критическая уязвимость в системе сжатия данных вынуждает технологические компании выпускать обновления безопасности, чтобы предотвратить атаки, которые могут скомпрометировать серверы и приложения. Эта уязвимость, получившая название HTTP2Shell, затрагивает Brotli — технологию, разработанную Google и применяемую в различных элементах интернет-инфраструктуры.
Данная брешь классифицирована как очень серьезная, имея оценку 9,2 по десятибалльной шкале. Она способна вызвать повреждение памяти, утечку данных, остановку сервисов и, при определенных обстоятельствах, удаленное выполнение кода. Последний сценарий позволяет злоумышленнику выполнять команды в уязвимой системе.
Проблема, идентифицированная под кодом CVE-2026-111497, также известна как Node2Shell и Broccoli2Shell. Среди программного обеспечения, которое потенциально подвержено риску, находятся Node.js, приложения .NET и пакеты Python, использующие уязвимые версии декодера Brotli.
Согласно TechRadar, многие компании и проекты уже начали распространять исправления. Однако на момент публикации материала не было подтверждений о том, что эта уязвимость используется в реальных вредоносных атаках.
Проблема побудила различные проекты выпустить обновления безопасности. Google обновил библиотеку Brotli 21 октября, выпустив версии 1.0.10, 1.1.1 и 1.2.1. В тот же день Node.js также выпустил исправления. Уязвимость затрагивает линии 22.x, 24.x и 26.x среды выполнения, которая используется для запуска кода JavaScript вне браузеров.
В выходные дни Microsoft опубликовала экстренное обновление для .NET. Компания предупредила, что успешная эксплуатация может привести к повышению привилегий в уязвимых системах. Кроме того, пакеты Python, использующие декодер, получили исправления 23 октября.
TechRadar привела список исправленных версий, однако подчеркнула, что наличие этих версий не означает, что все системы, использующие эти технологии, являются уязвимыми. Риск зависит от установленных версий, используемых библиотек и того, как каждое приложение обрабатывает данные. Также важно помнить, что некоторые программы содержат собственную копию декодера, поэтому администраторам необходимо проверять зависимости и обновлять фактически используемые компоненты.
Эта гонка за устранением HTTP2Shell привлекает внимание к более широкой проблеме: поддержанию безопасности цифровой инфраструктуры, которая зависит от множества компонентов, библиотек и серверов, которые не всегда обновляются регулярно.
Недавнее предупреждение, касающееся PHP — еще одной широко используемой технологии для создания сайтов, — показало, как эта проблема может усугубиться, если ответственные за обслуживание не применяют патчи безопасности. Хотя уязвимости PHP отличаются от HTTP2Shell, оба случая иллюстрируют трудности защиты систем, зависящих от программных компонентов, поддерживаемых разными организациями.
По сообщению CNET, сама PHP Foundation, некоммерческая организация, поддерживающая безопасность и разработку языка, функционирует с всего одной штатной сотрудницей и около 14 сотрудников на частичной занятости, помимо волонтеров совета. Исполнительный директор организации, Elizabeth Barron, заявила Reuters, что спрос на изменения безопасности в коде PHP возрос из-за расширения угроз, выявленных искусственным интеллектом (ИИ), при отсутствии соответствующего роста числа сотрудников.
Осознанность ответственных за сайты также является препятствием. Исследование, цитированное CNET и проведенное среди 121 владельца малого бизнеса, который поддерживает собственный сайт, показало, что 45% никогда не слышали о PHP, а 71% не знали, использует ли их сайт эту технологию.
Ответственность за применение исправлений варьируется в зависимости от инфраструктуры. Некоторые услуги хостинга с администрированием выполняют обновления для клиентов, тогда как владельцы собственных серверов должны действовать самостоятельно. Для обычных посетителей сайтов обновление браузера или смена паролей не устранит уязвимость на сервере другой организации; защита в первую очередь зависит от своевременного обновления компонентов и принятия надлежащих мер безопасности ответственными за приложения.
Основная рекомендация заключается в установке доступных обновлений для затронутых компонентов. После исправления может потребоваться перезапуск процессов и перестройка образов контейнеров, чтобы гарантировать, что сервисы перестанут использовать уязвимые версии.
Если не удается немедленно применить исправление, существуют временные меры для снижения риска. В случае с приложениями Python временным решением является удаление уязвимых пакетов Brotli и необязательных зависимостей, которые их используют. Администраторы также могут настроить прокси, балансировщики нагрузки или межсетевые экраны приложений для блокировки определенных запросов с упакованными в Brotli телами. Тем не менее, эта мера не обеспечивает полной защиты приложений, получающих вредоносные ответы от других серверов и пытающихся их распаковать. Для Node.js полноценной альтернативы обновлению не существует.
Прозвище HTTP2Shell отсылает к другой недавней уязвимости, известной как PHP2Shell, которая затронула PHP, язык, широко используемый в разработке веб-сайтов и приложений. Обе уязвимости имеют тревожный общий аспект: при определенных условиях они могут открыть путь к удаленному выполнению кода. Это делает исправление особенно важным для организаций, поддерживающих системы, открытые для интернета.
Тем не менее, сами уязвимости различны и затрагивают разные компоненты. Исправление PHP2Shell автоматически не защищает среду от HTTP2Shell, так же как и обновление Brotli не решает специфические проблемы PHP. В случае HTTP2Shell TechRadar упоминала публичные концепции доказательств, но не указывала на подтвержденную эксплуатацию в реальном мире. Несмотря на это, доступность исправлений и потенциальная серьезность проблемы делают проверку затронутых систем приоритетной. Статья «Falha crítica ameaça sites e pode permitir que hackers executem códigos remotamente» впервые появилась в Olhar Digital.
