home / blog
2026-10-22 · critica
Brotli: buffer overflow nel decoder, esecuzione di codice remota (CVE-2026-111497)
Buffer overflow nel decoder Brotli di Google, CVSS v4.0 9,2. Colpisce anche Node.js e le librerie che lo incorporano: aggiornare Brotli.
Il 22 ottobre 2026 è stata pubblicata la scheda di CVE-2026-111497: un buffer overflow nel decoder Brotli di Google, presente nelle versioni dalla 1.0.3 alla 1.2.0. Un attaccante remoto non autenticato può usare un flusso compresso costruito ad arte per corrompere la memoria adiacente del decoder. Google lo valuta CVSS v4.0 9,2.
Il problema non riguarda una sola applicazione: Brotli è incorporato in molti prodotti. Node.js ha pubblicato correzioni nel suo bollettino di ottobre 2026, e i pacchetti Python brotli e brotlicffi hanno versioni corrette dedicate.
Aggiornare Brotli alla 1.0.10, 1.1.1 o 1.2.1, oppure la libreria che lo incorpora. Verificare le dipendenze transitive dei propri progetti, perché spesso Brotli arriva da una libreria di terzi e non da una dipendenza diretta.
In sintesi
- Cosa
- Buffer overflow nel decoder Brotli di Google, sfruttabile da remoto con un flusso compresso costruito ad arte. Le conseguenze possono includere corruzione di memoria, esposizione di dati, denial of service o esecuzione di codice.
- Gravità
- CVSS v4.0 9,2 (critica), secondo Google come CNA. NVD non riporta CVSS v3.1.
- Versioni interessate
- Brotli dalla 1.0.3 fino alla 1.2.0 compresa.
- Correzione
- Brotli 1.0.10, 1.1.1 e 1.2.1. Node.js ha pubblicato correzioni nel bollettino di ottobre 2026.
- Azione
- Aggiornare Brotli o le librerie che lo incorporano (Node.js, pacchetti Python, curl compilato con Brotli). Verificare anche le dipendenze transitive.
Fonti: NVD, CVE-2026-111497 · Google Brotli, release 1.2.1 · Node.js, release di sicurezza di ottobre 2026