یک خطای واحد در کتابخانه‌ی بروتی (Brotli) — ابزاری که مانند یک فشرده‌ساز جهانی، ترافیک وب را از HTML و CSS تا جاوااسکریپت کوچک می‌کند — اکنون میلیون‌ها برنامه را در معرض خطر قرار داده است. اگر امروز سروری مدیریت می‌کنید که داده‌های فشرده HTTP را پردازش می‌کند، سطح حمله‌ی شما در چند ساعت گذشته به‌شدت گسترش یافته است.
نقص CVE-2026-111497 یک «نوشتن خارج از مرز» (out-of-bounds write) در رمزگشای بروتی (Brotli decoder) است. مهاجم نیازی به احراز هویت ندارد؛ کافیست یک جریان بروتیِ مخرب بفرستد تا حافظه فرآیند خراب شود، اطلاعات حساس لو برود، یا کد دلخواه اجرا گردد. این آسیب‌پذیری در تمام پلتفرم‌ها و تمام نسخه‌های ۱.۰.۳ تا ۱.۲.۰ وجود دارد.
بروتی یک الگوریتم فشرده‌سازی بدون ضرر (lossless) است که توسط گوگل توسعه یافته و به‌وفور برای فشرده‌سازی محتوای وب شامل فایل‌های HTML، CSS و جاوااسکریپت استفاده می‌شود. رواج آن در فشرده‌سازی HTTP این آسیب‌پذیری را به‌ویژه نگران‌کننده می‌سازد، زیرا می‌تواند میلیون‌ها برنامه و سرویس در سراسر جهان را تحت تأثیر قرار دهد.
همان‌طور که در تحلیل قبلی ما درباره‌ی زنجیره تأمین نرم‌افزاری (software supply chain) اشاره کردیم، یک کتابخانه‌ی پایه می‌تواند مانند یک لوله‌ی اصلی آب در یک شهر عمل کند: یک ترک در آن، تمام خانه‌ها را تحت تأثیر قرار می‌دهد. بروتی دقیقاً در همین نقش است — در قلب فشرده‌سازی HTTP نهفته، از مرورگرها تا سرورهای API.
جزئیات فنی و زمان‌بندی
- محدوده نسخه: بروتی ۱.۰.۳ تا ۱.۲.۰ (شامل libbrotli)
- مکانیزم: نوشتن خارج از بافر در حین رمزگشایی جریان‌های بروتی
- تأثیر: خرابی حافظه، لو رفتن داده، سقوط فرآیند، اجرای کد از راه دور (RCE)
- زمان‌بندی افشا:
- ۲۱ اکتبر ۲۰۲۶: Node.js اعلام CVE-2026-111497 کرد (ابتدا «Node2Shell» نام‌گذاری شد)
- ۲۲ اکتبر ۲۰۲۶: پایتون (Python) همان CVE را تایید کرد
- ۲۳ اکتبر ۲۰۲۶: گسترش به C++، Bun، Envoy و سایر اجزاء آشکار شد، اگرچه پچ‌ها هنوز به‌طور جهانی در دسترس نبودند
- پچ‌های موجود: libbrotli، پایتون، C++، Node.js، Bun، Envoy
- مصون‌مانده‌ها: آپاچی (Apache) و انجین‌اکس (Nginx) به‌صورت پیش‌فرض بروتی را رمزگشایی نمی‌کنند
اوپن‌ای‌آی (OpenAI) به گزارش خود، این نقص را در فوریه ۲۰۲۶ کشف کرده بود. اگرچه علت ریشه در کد منبع بروتی در آن زمان برطرف شده بود، اما پیامدهای امنیتی تا ماه‌های بعد کاملاً درک نشد. مشورۀ اوپن‌ای‌آی زمینه‌ی بیشتری درباره کشف و رفع نقص فراهم می‌کند.
امتیاز CVSS v4 این آسیب‌پذیری شدت بالا را تأیید می‌کند و آن را اولویت اول تیم‌های امنیتی می‌سازد. سازمان‌ها باید سیستم‌های تحت تأثیر را شناسایی، بروتی را در وابستگی‌های مستقیم و غیرمستقیم بررسی، و در صورت امکان رمزگشایی بروتی را تا اعمال پچ غیرفعال کنند.
سازمان‌هایی که از رمزگشایی بروتی به‌عنوان بخشی از پشته تکنولوژی خود استفاده می‌کنند، توصیه می‌شود بررسی کنند که آیا در کتابخانه‌ها و وابستگی‌های خود داده‌های بروتی را رمزگشایی می‌کنند. تا زمانی که پچ‌های جامع مستقر نشده‌اند، غیرفعال کردن رمزگشایی بروتی به‌عنوان اقدام احتیاطی توصیه می‌شود.
زمینه و تحلیل
این رویداد مرز بین «کتابخانه‌ی کمکی» و «زیرساخت حیاتی» را محو می‌کند. بروتی هرگز به‌عنوان یک سطح حمله‌ی اصلی دیده نمی‌شد — اما اکنون ثابت شده که یک خطا در رمزگشای آن، کلید دروازه‌ی حافظه‌ی فرآیندهای وب، دسکتاپ و سرور است. تمرکز دفاعی باید از لایه‌ی برنامه به لایه‌ی وابستگی‌های تراگذاری (transitive dependencies) منتقل شود.
این آسیب‌پذیری طبیعت متداخل اکوسیستم‌های نرم‌افزاری مدرن را برجسته می‌کند، جایی که یک نقص واحد در یک کتابخانه‌ی پایه می‌تواند به صورت آبشاری در چندین پلتفرم و برنامه گسترش یابد. این موضوع اهمیت حفظ روش‌های مدیریت وابستگی قوی و آگاه ماندن از مشاوره‌های امنیتی را تقویت می‌کند.
تحول از «Node2Shell» به «HTTP2Shell» دامنه‌ی گسترش‌یافته این آسیب‌پذیری را منعکس می‌کند، با تأکید بر اینکه تهدید فراتر از محیط‌های Node.js است. این تأثیر گسترده‌تر یک پاسخ هماهنگ در سراسر جامعه فناوری را ضروری می‌سازد.
با توجه به استفاده گسترده از فشرده‌سازی بروتی در برنامه‌های وب مدرن، تأثیر بالقوه CVE-2026-111497 نمی‌توان کم‌ارزش شمرد. مدیران سیستم و توسعه‌دهندگان باید بیدار بمانند و بلافاصله اقدامات حفاظتی را اجرا کنند.
سازمان‌ها همچنین باید در نظر بگیرند که کنترل‌های سطح شبکه برای شناسایی و مسدود کردن ترافیک مخرب احتمالی بروتی‌فشرده پیاده‌سازی کنند، تا زمانی که تمام سیستم‌ها به‌درستی پچ شوند. ارزیابی‌های امنیتی منظم و تست نفوذ می‌تواند به شناسایی اجزای آسیب‌پذیر در معماری‌های پیچیده برنامه کمک کند.
این رویداد نقش حیاتی که کتابخانه‌های متن‌باز در توسعه نرم‌افزار مدرن ایفا می‌کنند و مسئولیت مشترک در حفظ امنیت آن‌ها را به یادآوری می‌کند. همکاری بین فروشندگان، محققان و جامعه گسترده برای مقابله با آسیب‌پذیری‌های این مقیاس ضروری است.
در پیش رو، سازمان‌ها باید فرآیندهای مدیریت وابستگی خود را ارزیابی کنند و در نظر بگیرند که ابزارهای خودکار برای ردیابی و به‌روزرسانی کتابخانه‌های شخص ثالث را پیاده‌سازی کنند. این رویکرد پیشگیرانه می‌تواند در کاهش'exposition' به آسیب‌پذیری‌های مشابه در آینده کمک کند.
آسیب‌پذیری بروتی همچنین اهمیت استراتژی‌های دفاع در عمق (defense-in-depth) را برجسته می‌کند، جایی که چندین لایه کنترل امنیتی با هم کار می‌کنند تا در برابر بردارهای حمله مختلف محافظت کنند. تکیه صرف بر هر مؤلفه منفردی برای امنیت می‌تواند سیستم‌ها را در معرض خطر بگذارد وقتی که مؤلفه‌ای به خطر می‌افتد.
سازمان‌ها باید رویه‌های پاسخ به رویداد خود را مرور کنند تا مطمئن شوند می‌توانند به سرعت آسیب‌پذیری‌های مشابه را در آینده شناسایی و رفع کنند. این شامل نگهداری لیست‌های به‌روز از تمام مؤلفه‌های نرم‌افزاری و برقراری کانال‌های ارتباطی شفاف با فروشندگان و تیم‌های امنیتی است.
چرخه سریع افشا و توسعه پچ برای CVE-2026-111497 اثربخشی روش‌های هماهنگ افشای آسیب‌پذیری را نشان می‌دهد. مشارکت مداوم در این برنامه‌ها کمک می‌کند تا مطمئن شویم مسائل امنیتی قبل از اینکه به سوءاستفاده گذاشته شوند، رفع می‌شوند.
با اینکه منظر فناوری همچنان در حال تکامل است، پیشی گرفتن از تهدیدات نوظهور نیازمند بیداری و سازگاری مداوم است. سازمان‌هایی که در برنامه‌های امنیتی جامع، شامل آموزش منظم، ارزیابی و فعالیت‌های بهبود سرمایه‌گذاری می‌کنند، برای پاسخ به چالش‌هایی مانند CVE-2026-111497 در موقعیت بهتری قرار خواهند داشت.
دروس آموخته شده از این رویداد باید استراتژی‌های امنیتی آینده را هدایت کند و به ساخت سیستم‌های مقاوم‌تر کمک نماید که بتوانند در برابر منظر تهدید در حال تکامل بمانند. با حفظ آگاهی از تهدیدات فعلی و اجرای محافظت‌های مناسب، سازمان‌ها می‌توانند پروفایل ریسک خود را کاهش دهند و دارایی‌های خود را بهتر محافظت کنند.
گام بعدی شما
- نمایه‌سازی وابستگی: تمام پروژه‌ها را برای نسخه‌های بروتی ۱.۰.۳–۱.۲.۰ اسکن کنید (شامل
node_modules،site-packages، کانتینرها) - پچ فوری: به‌روزرسانی‌های libbrotli، Node.js ۲۰.۱۸.۰+، پایتون ۳.۱۲.۷+، و Envoy ۱.۳۰.۱+ را اعمال نمایید
- مکانیزم دفاعی: در صورت عدم امکان پچ فوری، رمزگشایی بروتی را در لایه‌ی میدل‌ور (middleware) یا لود بالانسر غیرفعال کنید
- پایش ترافیک: قوانین WAF/IDS برای شناسایی جریان‌های بروتیِ نامتعادل یا بیش از حد بزرگ پیاده‌سازی کنید
داستانِ مدیریتِ وابستگی‌های تراگذاری هنوز تمام نشده است — در گزارش بعدی ما بررسی خواهیم کرد که چگونه ابزارهای SBOM می‌توانند این سطح حمله را پیش از وقوع قابل‌مشاهده کنند.
در نتیجه، CVE-2026-111497 یک چالش امنیتی مهم است که نیازمند توجه فوری سازمان‌ها در سراسر جهان است. تأثیر گسترده این آسیب‌پذیری در چندین پلتفرم و زبان آن را به یک دغدغه حیاتی برای متخصصان امنیتی تبدیل می‌کند. اقدام سریع برای اعمال پچ‌های موجود و اجرای استراتژی‌های کاهش ریسک برای حفظ امنیت سیستم و حفاظت از داده‌های حساس در برابر سوءاستفاده بالقوه ضروری خواهد بود.
گفتگو