Brotli2Shell: kritieke kwetsbaarheid raakt Node.js, .NET en tal van andere applicaties

Een kritieke kwetsbaarheid in Google’s Brotli-compressiebibliotheek vormt een potentieel risico voor een groot aantal applicaties en IT-omgevingen. De kwetsbaarheid, geregistreerd als CVE-2026-111497 en bekend als Brotli2Shell (en Broccoli2Shell en Node2Shell), heeft een CVSS-score van 9,2. Onderzoekers hebben inmiddels aangetoond dat aanvallers onder bepaalde omstandigheden op afstand kwaadaardige code kunnen uitvoeren. Omdat Brotli onderdeel is van uiteenlopende softwareproducten, reikt de impact mogelijk veel verder dan aanvankelijk werd gedacht.

Na de recente ontdekking van de kritieke php2shell-kwetsbaarheden wordt de cybersecuritywereld opnieuw geconfronteerd met een kwetsbaarheid in een veelgebruikte softwarecomponent.

Op 21 oktober 2026 publiceerde Node.js beveiligingsupdates voor een kwetsbaarheid in de ingebouwde Brotli-decoder. Al snel bleek dat het probleem niet beperkt was tot Node.js, maar aanwezig is in de onderliggende compressiebibliotheek die door uiteenlopende applicaties en softwareplatformen wordt gebruikt.

Dit maakt Brotli2Shell bijzonder relevant voor organisaties die afhankelijk zijn van moderne webapplicaties, API’s, cloudomgevingen en software van externe leveranciers.

Wat is Brotli2Shell?

Brotli is een open-source compressietechnologie die door Google is ontwikkeld. De technologie wordt veel gebruikt om websites, bestanden en andere gegevens kleiner te maken, zodat ze sneller en efficiënter kunnen worden uitgewisseld.

Wanneer een applicatie gecomprimeerde gegevens ontvangt, gebruikt deze een decoder om de oorspronkelijke inhoud te herstellen.

Precies in dit proces is een kritieke kwetsbaarheid ontdekt.

CVE-2026-111497 betreft een zogenaamde out-of-bounds write. Hierbij kan de decoder door speciaal gemanipuleerde gecomprimeerde gegevens buiten het daarvoor gereserveerde geheugen schrijven.

Een aanvaller kan deze fout mogelijk misbruiken om:

• Applicaties of services te laten crashen (Denial of Service).
• Gevoelige informatie uit het procesgeheugen bloot te leggen.
• Het geheugen van een applicatie te manipuleren.
• Onder bepaalde omstandigheden op afstand kwaadaardige code uit te voeren (Remote Code Execution).

Voor misbruik is niet altijd authenticatie nodig. Wel moet een aanvaller ervoor kunnen zorgen dat een kwetsbare applicatie de speciaal geprepareerde Brotli-gegevens daadwerkelijk verwerkt.

Veel meer software kwetsbaar dan alleen Node.js

Wat Brotli2Shell bijzonder maakt, is de brede verspreiding van de onderliggende technologie.

De kwetsbaarheid werd aanvankelijk bekend onder de naam Node2Shell, maar inmiddels is duidelijk dat meerdere softwareplatformen gebruikmaken van de kwetsbare Brotli-decoder.

Onder andere de volgende technologieën kunnen geraakt worden:

• Node.js en Bun: JavaScript-runtimes die worden gebruikt voor webapplicaties, API’s en backendservices.
• Microsoft .NET: Applicaties die Brotli-decompressie gebruiken, bijvoorbeeld bij het verwerken van HTTP-verzoeken of -responses.
• Python: Applicaties die gebruikmaken van Brotli of brotlicffi, waaronder bepaalde HTTP-clients.
• Envoy Proxy en Istio: Componenten die veel worden toegepast binnen cloud-native infrastructuren en Kubernetes-omgevingen.
• PHP voor Windows: Specifieke Windows-builds bevatten een kwetsbare Brotli-implementatie.
• Andere softwarecomponenten: Onderzoekers hebben ook kwetsbare verwerkingspaden gevonden in onder andere FFmpeg, Apache Arrow en ClickHouse.

Belangrijk is dat niet iedere installatie van deze producten automatisch kwetsbaar is voor aanvallen op afstand.

Het daadwerkelijke risico hangt af van de gebruikte versie, de configuratie en vooral de vraag of een aanvaller gegevens kan laten verwerken door de kwetsbare decoder.

Juist dat maakt het bepalen van de werkelijke impact complex.

Remote Code Execution inmiddels aangetoond

De ernst van Brotli2Shell is inmiddels meer dan alleen theoretisch.

Onderzoekers van Imperva hebben aangetoond dat de kwetsbaarheid kan leiden tot Remote Code Execution op een kwetsbare Node.js-installatie.

Tijdens hun onderzoek konden zij via speciaal geprepareerde Brotli-gegevens code uitvoeren binnen een Node.js-proces. De onderzoekers demonstreerden dit zowel via inkomende HTTP-verzoeken als via gecomprimeerde responses die door een applicatie werden verwerkt.

Ook securityonderzoekers van JFrog hebben aangetoond dat de kwetsbaarheid via andere softwarecomponenten bereikbaar is, waaronder de verwerking van JPEG XL-afbeeldingen door FFmpeg.

Daarnaast meldde securitybedrijf ELLIO op 26 oktober 2026 een vermoedelijke exploitatiepoging gericht op een kwetsbare Node.js-versie.

Hoewel hiermee nog geen sprake is van bevestigd grootschalig misbruik, zijn de beschikbare exploitatiemethoden en de eerste aanvalssignalen voldoende aanleiding om de kwetsbaarheid met hoge prioriteit te behandelen.

Welke versies zijn kwetsbaar?

Voor verschillende softwareplatformen zijn inmiddels beveiligingsupdates beschikbaar.

Software	Beschikbare beveiligingsversies
Google Brotli	1.0.10, 1.1.1 en 1.2.1
Node.js	22.23.4, 24.22.1 en 26.12.1
Bun	1.4.4
Microsoft .NET	8.0.33, 9.0.22 en 10.0.14
Python Brotli	1.2.1
Python brotlicffi	1.2.1.0

De juiste update is afhankelijk van de gebruikte softwareversie en releasebranch. Controleer altijd de beveiligingsadviezen van de betreffende leverancier.

Ook voor Envoy Proxy, Istio en diverse andere softwareproducten zijn beveiligingsupdates beschikbaar.

Een belangrijk aandachtspunt is dat sommige applicaties hun eigen versie van de Brotli-bibliotheek meeleveren. Het bijwerken van de Brotli-bibliotheek op het besturingssysteem betekent dan niet automatisch dat alle applicaties beschermd zijn.

Daarnaast moeten containers en applicatie-images mogelijk opnieuw worden gebouwd en uitgerold voordat de beveiligingsupdate daadwerkelijk actief is.

Waarom traditionele vulnerability scans niet altijd het volledige risico laten zien

Brotli2Shell laat opnieuw zien dat het identificeren van een kwetsbare softwareversie slechts een deel van de uitdaging is.

Stel dat twee organisaties dezelfde kwetsbare versie van Node.js gebruiken.

Bij de ene organisatie draait de software binnen een afgeschermde omgeving die uitsluitend vertrouwde gegevens verwerkt. Bij de andere organisatie maakt dezelfde technologie onderdeel uit van een publiek toegankelijke API die automatisch gecomprimeerde verzoeken verwerkt.

Hoewel beide organisaties dezelfde kwetsbaarheid hebben, kan het daadwerkelijke risico aanzienlijk verschillen.

Daar komt bij dat kwetsbare softwarecomponenten soms diep verborgen zitten in applicaties, containers en afhankelijkheden van andere software.

Om het risico goed te kunnen beoordelen, moeten organisaties daarom antwoord hebben op drie vragen:

1. Waar bevindt de kwetsbare software zich? Welke applicaties, systemen en afhankelijkheden maken gebruik van de getroffen Brotli-decoder?
2. Is de kwetsbaarheid daadwerkelijk bereikbaar? Kan een aanvaller gegevens aanbieden die door de kwetsbare component worden verwerkt?
3. Wat is de mogelijke bedrijfsimpact? Welke systemen, gegevens en kritieke processen kunnen geraakt worden bij succesvolle exploitatie?

Dit is precies waar de verschuiving van traditioneel Vulnerability Management naar Exposure Management waarde toevoegt.

Niet alleen kwetsbaarheden identificeren, maar ook begrijpen hoe deze kunnen worden misbruikt en welke gevolgen dat heeft voor de organisatie.

Wat moeten organisaties nu doen?

Access42 adviseert organisaties om de volgende maatregelen te nemen.

1. Inventariseer kwetsbare softwarecomponenten

Controleer welke applicaties en systemen gebruikmaken van Brotli. Kijk daarbij verder dan alleen Node.js en onderzoek ook afhankelijkheden binnen containers, cloudomgevingen en software van externe leveranciers.

Een Software Bill of Materials (SBOM) kan helpen om kwetsbare componenten beter in kaart te brengen.

2. Controleer of de kwetsbaarheid daadwerkelijk bereikbaar is

Onderzoek welke applicaties Brotli-gecomprimeerde gegevens van externe of niet-vertrouwde bronnen verwerken.

Besteed daarbij aandacht aan zowel inkomende HTTP-verzoeken als uitgaande verbindingen waarbij applicaties gecomprimeerde responses ontvangen.

Ook bestanden die door applicaties worden verwerkt, kunnen een aanvalspad vormen.

3. Installeer beschikbare beveiligingsupdates

Werk getroffen software bij naar een veilige versie. Controleer daarbij ook of applicaties hun eigen Brotli-bibliotheken bevatten.

Vergeet niet om actieve processen te herstarten en container-images opnieuw te bouwen en uit te rollen wanneer dit noodzakelijk is.

4. Beperk de blootstelling zolang patchen niet mogelijk is

Overweeg om de verwerking van Brotli-gecomprimeerde gegevens tijdelijk uit te schakelen of te beperken.

Een Web Application Firewall kan helpen bij het blokkeren van verdachte inkomende verzoeken, maar beschermt niet automatisch tegen aanvallen via gecomprimeerde responses die een applicatie zelf ophaalt.

Deze tijdelijke maatregelen vervangen het installeren van beveiligingsupdates niet.

5. Monitor op verdachte activiteiten

Controleer applicatie- en beveiligingslogs op ongebruikelijke gecomprimeerde verzoeken, onverwachte procescrashes en andere afwijkingen.

De beschikbaarheid van publieke exploitcode maakt het belangrijk om niet alleen preventieve maatregelen te nemen, maar ook te onderzoeken of aanvallers de kwetsbaarheid mogelijk al hebben geprobeerd te misbruiken.

Van kwetsbaarheid naar daadwerkelijk bedrijfsrisico

De ontdekking van Brotli2Shell maakt duidelijk hoe sterk moderne IT-omgevingen afhankelijk zijn van gedeelde softwarecomponenten.

Eén kwetsbaarheid in een relatief kleine bibliotheek kan gevolgen hebben voor uiteenlopende applicaties, platformen en bedrijfskritische processen.

Dit vraagt om een bredere aanpak dan alleen het periodiek uitvoeren van kwetsbaarheidsscans.

Met Exposure Management krijgen organisaties inzicht in hun aanvalsoppervlak en kunnen zij kwetsbaarheden prioriteren op basis van daadwerkelijke blootstelling, beschikbare dreigingsinformatie en bedrijfsimpact.

Offensieve securitytesten kunnen vervolgens helpen om te onderzoeken of geïdentificeerde aanvalspaden in de praktijk daadwerkelijk misbruikt kunnen worden.

Gecombineerd met continue monitoring vanuit een Security Operations Center (SOC) ontstaat een integrale aanpak, waarin preventie, detectie en respons elkaar versterken.

Hoe kan Access42 helpen?

Bij Access42 helpen we organisaties om inzicht te krijgen in hun digitale risico’s en deze effectief te beheersen. Met onze dienstverlening op het gebied van Exposure Management, offensieve security en 24/7 SOC-monitoringondersteunen we organisaties bij het identificeren van kwetsbaarheden, het beoordelen van daadwerkelijke aanvalspaden en het tijdig signaleren van verdachte activiteiten. Brotli2Shell laat zien waarom deze samenhang belangrijk is.

Want weten dat een kwetsbaarheid bestaat is één ding. Weten waar je kwetsbaar bent, hoe een aanvaller hiervan misbruik kan maken en wat de impact is op je organisatie, maakt het verschil.

Wil je weten of Brotli2Shell een risico vormt voor jouw organisatie? Neem contact op met Access42.

Don’t Panic, We’ve got your back.

Bronnen

• Tenable Research – Brotli2Shell FAQ
• Node.js – Security Releases, October 2026
• JFrog Security Research – Brotli2Shell: Beyond Node2Shell and HTTP2Shell
• Imperva – Node2Shell: From Brotli Data to Remote Code Execution
• Microsoft – .NET Security Advisory CVE-2026-111497
• ELLIO – Node2Shell RCE Research

Stand van zaken: 27 oktober 2026.