Apa yang terjadi
CISA menambahkan CVE-2026-111497 ke katalog Known Exploited Vulnerabilities pada 2026-10-27 dengan eksploitasi di alam liar yang terkonfirmasi; penelitian independen (Help Net Security, 27 Sep) melaporkan bug Node2Shell sedang diserang aktif. Decoder Brotli Google salah menangani perpindahan tipe blok yang tidak mungkin, diperlakukan sebagai 'membutuhkan lebih banyak input', sehingga aliran yang dibuat meluapkan buffer internal 8-byte (CWE-252/CWE-787), memungkinkan pengungkapan memori, DoS, atau eksekusi kode jarak jauh. Perbaikan (komit google/brotli 0ed4268) ditulis pada Feb 2026 tetapi tidak ditarik ke proyek hilir hingga Oktober.
Mengapa penting
Lapisan web AI dibangun di atas runtime ini: server MCP, webhook LangChain/agen, dan front gateway AI berjalan di Node.js/Python/Bun dan secara otomatis mendekompresi Brotli. RCE korupsi memori di decoder bersama adalah masalah skala rantai pasokan — satu payload dapat menyusupi seluruh kelas proses penyajian AI dan alat agen, dan tekanan waktu-ke-eksploitasi pasca-Mythos berarti pembela memiliki hari, bukan bulan.
Vektor serangan
Aliran terkompresi Brotli yang dibuat didekompresi otomatis oleh klien/server HTTP (isi permintaan melalui middleware inflasi, atau respons fetch()), merusak memori status decoder yang berdekatan. Dapat dijangkau dari internet terbuka di mana pun aplikasi AI atau alat agen menerima lalu lintas yang disandikan Brotli.
Sistem yang terdampak
Google Brotli 1.0.3–1.2.0 (libbrotlidec); Node.js <22.23.4 / <24.22.1 / <26.12.1 (tanpa perbaikan pada cabang EOL); Bun ≤1.4.3; Python brotli ≤1.2.0 / brotlicffi ≤1.2.0.x; salinan yang digabungkan di .NET, PHP, Ruby, DuckDB, ClickHouse
Mitigasi
Tingkatkan ke Node.js 22.23.4 / 24.22.1 / 26.12.1, Bun 1.4.4, brotli/brotlicffi 1.2.1.x, dan Google Brotli 1.2.1. Pindah dari cabang Node EOL. Nonaktifkan inflasi Brotli pada parser isi jika tidak diperlukan.