Brotli Sicherheitslücke CVE-2026-111497: CISA setzt Frist zum 10. November

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt und automatisiert veröffentlicht.

Die Brotli Sicherheitslücke CVE-2026-111497 steht seit dem 27. Oktober 2026 im Katalog der bekannt ausgenutzten Schwachstellen (KEV) der US-Behörde CISA. US-Bundesbehörden müssen bis zum 10. November reagieren. Für alle anderen ist dieses Datum vor allem ein Signal: Ein Fehler in einer Komprimierungsbibliothek, die kaum jemand auf seiner Patchliste führt, ist in der Praxis angekommen.

Was an CVE-2026-111497 technisch passiert

Der Fehler sitzt im Brotli-Decoder, also im Teil der Bibliothek, der komprimierte Daten wieder auspackt. Laut NVD-Eintrag handelt es sich um einen Pufferüberlauf in c/dec/decode.c der Versionen 1.0.3 bis 1.2.0. Ein entfernter Angreifer braucht keine Anmeldung: Es genügt, dass eine Anwendung einen präparierten Brotli-Datenstrom entpackt. Möglich sind dann das Überschreiben benachbarten Decoder-Speichers, das Auslesen von Speicherinhalten, ein Absturz oder im schlimmsten Fall Codeausführung. Google bewertet die Lücke als CVE-Vergabestelle mit 9,2 von 10 nach CVSS 4.0, also kritisch. Korrigiert ist sie in Brotli 1.0.10, 1.1.1 und 1.2.1.

Das Node.js-Projekt beschreibt die Ursache in seinem Advisory vom 21. Oktober erfreulich klar: Ein ungültiger Blockwechsel wurde nicht als dauerhafter Formatfehler gemeldet, sondern als vorübergehender Bedarf nach mehr Daten. Der Streaming-Decoder hängte daraufhin weiter Bytes an einen internen Puffer von acht Byte Größe an. Gemeldet wurde der Fehler laut Advisory vom Security-Team von OpenAI Codex, behoben haben ihn Node.js-Maintainer. Übrigens: Mit den PHP2Shell-Lücken aus derselben Woche hat dieser Fehler technisch nichts zu tun – beide landeten nur kurz hintereinander im KEV-Katalog.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Ich werte aus, ob du den Newsletter öffnest und Links anklickst, um ihn zu verbessern. Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Wo Brotli überall steckt

Brotli ist die Technik hinter Content-Encoding: br und damit in fast jeder modernen Webstrecke vorhanden. Laut der Übersicht von Tenable (nicht von mir einzeln nachgeprüft) sind unter anderem betroffen: Node.js vor 22.23.4, 24.22.1 und 26.12.1, Microsoft .NET vor 8.0.33, 9.0.22 und 10.0.14, Bun vor 1.4.4, die Python-Pakete brotli und brotlicffi sowie die Windows-Builds von PHP. Envoy Proxy und Istio sind nur betroffen, wenn die Brotli-Dekompression dort überhaupt eingeschaltet ist – bei Istio etwa über einen EnvoyFilter. Entscheidend ist dabei ein Detail: Manche Programme nutzen die Brotli-Bibliothek des Betriebssystems, andere bringen ihre eigene Kopie mit. Nur bei der ersten Gruppe hilft ein Systemupdate.

Brotli Sicherheitslücke: Was das für dich bedeutet

Nach 25 Jahren IT und mit CISO-Blick sage ich: Das ist kein Patch-Problem, sondern ein Inventarproblem. Niemand führt „Brotli“ im Asset-Register. Gepflegt werden Betriebssysteme, Appliances und vielleicht noch das CMS – aber nicht die Komprimierungsbibliothek, die in drei Containern, einem Reverse Proxy und zwei Python-Skripten gleichzeitig liegt. Genau diese Streuung macht solche Bibliotheksfehler teuer, nicht der einzelne CVSS-Wert.

Gleichzeitig hilft Panik nicht weiter – wohl aber Nüchternheit. Öffentliche Proof-of-Concepts sind laut Tenable verfügbar, und Codeausführung wurde gegen offizielle Node.js-24.22.0-Builds demonstriert. Der häufigere Ausgang bleibt trotzdem ein Absturz oder ein Speicherleck, weil ein zuverlässiger Exploit stark von Build, Plattform und Speicherschutz abhängt. Für kleine Betriebe heißt das: Wer eine Node-Anwendung, ein selbst gehostetes Tool oder einen eigenen Reverse Proxy betreibt, sollte diese Woche handeln. Wer nur fremde SaaS-Dienste nutzt, kann das Thema dem Anbieter überlassen – und ruhig einmal nachfragen.

Praxis: in dieser Reihenfolge vorgehen

• Laufzeiten zuerst abfragen. node -v, dotnet --list-runtimes und bun -v auf allen Hosts und in allen Images. Das kostet zehn Minuten und beantwortet die wichtigste Frage.
• Nach dem Update neu starten. Ein gepatchter Decoder wirkt nicht im laufenden Prozess. Dienste neu starten, Container-Images neu bauen und neu ausrollen – sonst steht der Patch nur auf dem Papier.
• Python-Umgebungen prüfen. pip list | grep -i brotli zeigt, ob brotli oder brotlicffi installiert sind. HTTP-Clients wie requests oder httpx entpacken Brotli nämlich nur dann automatisch, wenn eines dieser Pakete vorhanden ist.
• Übergangsweise am Rand filtern. Lässt sich etwas nicht sofort patchen, kann der Reverse Proxy Anfragen mit Content-Encoding: br ablehnen. Das schützt aber nur eingehende Richtung – holt deine Anwendung selbst Brotli-Antworten von fremden Servern, bleibt das Risiko.
• Altzweige aussortieren. Node.js-Versionen ohne Support, etwa 20, 23 und 25, bekommen keinen Fix mehr. Hier führt nur ein Upgrade aus der Sache heraus.

Was noch offen ist

Beim Thema aktive Ausnutzung widersprechen sich die Quellen, und das sollte man nicht glattbügeln. Die Firma ELLIO berichtete am 26. Oktober von einem beobachteten Angriffsversuch gegen Node.js 24.22.0; Tenable konnte das nicht unabhängig bestätigen und schrieb am selben Tag, die Lücke stehe nicht im KEV-Katalog. Einen Tag später hat CISA sie dort eingetragen, mit dem Vermerk, eine Nutzung durch Ransomware-Gruppen sei unbekannt. CISA selbst führt die Lücke im NVD-Datensatz inzwischen als aktiv ausgenutzt. Mein Fazit: Die Aufnahme ins KEV ist der belastbarste öffentliche Hinweis, dass es nicht bei Laborversuchen bleibt – ein breiter Massenangriff ist damit aber nicht belegt.

Quellen

• NVD: CVE-2026-111497
• CISA: Known Exploited Vulnerabilities Catalog
• Google Brotli: Release v1.2.1
• Node.js: Security Releases vom 21. Oktober 2026
• Tenable: FAQ zu CVE-2026-111497