Falha crítica ameaça sites e pode permitir que hackers executem códigos remotamente

Uma falha crítica em um sistema de compressão de dados está levando empresas de tecnologia a distribuir atualizações de segurança para evitar ataques que podem comprometer aplicações e servidores.

Batizada de HTTP2Shell, a vulnerabilidade afeta o Brotli, tecnologia desenvolvida pelo Google e utilizada em diferentes componentes da infraestrutura da internet .

A brecha foi classificada com gravidade de 9,2 em escala de dez e pode provocar corrupção de memória , vazamento de informações, interrupção de serviços e, em determinadas condições, execução remota de código.

Esse último cenário permitiria que um invasor executasse comandos em um sistema vulnerável.

O problema, identificado pelo código CVE-2026-111497, também é conhecido como Node2Shell e Broccoli2Shell.

Entre os softwares potencialmente afetados estão Node.js, aplicações .NET e pacotes de Python que utilizam versões vulneráveis do decodificador Brotli.

Segundo a TechRadar , empresas e projetos já começaram a distribuir correções.

Até a publicação da reportagem, porém, não havia confirmação de que a vulnerabilidade estivesse sendo explorada em ataques maliciosos reais.

Como funciona a falha HTTP2Shell? O Brotli é um algoritmo de compressão sem perda de dados.

Ele reduz o tamanho de arquivos e conteúdos transmitidos pela internet sem alterar as informações originais, ajudando a acelerar o carregamento de páginas e a economizar largura de banda; O problema está na maneira como determinadas versões do decodificador processam dados malformados.

Uma sequência especialmente preparada pode fazer o programa interpretar incorretamente uma instrução de compressão e continuar adicionando informações a um espaço de memória limitado; Esse comportamento pode provocar uma gravação além dos limites previstos, conhecida como buffer overflow.

Com isso, partes da memória do processo podem ser corrompidas; Dependendo da aplicação e das condições de exploração, o resultado pode ser uma falha no serviço, a exposição de dados armazenados na memória ou a execução de código controlado pelo invasor; Para explorar a vulnerabilidade, um atacante precisa conseguir fazer com que uma aplicação processe dados Brotli preparados para acionar o erro.

Isso pode acontecer, por exemplo, quando um programa recebe conteúdo comprimido de uma fonte não confiável e tenta descompactá-lo; Apesar do nome HTTP2Shell, a falha não está restrita ao protocolo HTTP/2.

O risco está no decodificador vulnerável e pode atingir diferentes aplicações que utilizam esse componente.