ช่องโหว่ระดับ Critical ที่ชื่อ 'HTTP2Shell' ใน Brotli ซึ่งเป็น Library decoder ภาษา C ที่ติดตั้งมาพร้อมกับ Node.js อาจทำให้ผู้โจมตีทำให้เกิด corrupt memory และเข้าถึงข้อมูลที่สำคัญได้

ช่องโหว่ด้านความปลอดภัยนี้มีหมายเลข CVE-2026-111497 และเป็นที่รู้จักในชื่อ “Broccoli2Shell” และ “Node2Shell” โดยส่งผลกระทบต่อ Brotli เวอร์ชัน 1.0.3 ถึง 1.0.9, 1.1.0 และ 1.2.0

ช่องโหว่นี้ถูกรายงานภายใต้หลายชื่อ เนื่องจากในตอนแรกถูกพบใน Node.

Microsoft ได้ปล่อยอัปเดตแพตซ์ด้านความปลอดภัยฉุกเฉินสำหรับ .NET เพื่อแก้ไขช่องโหว่ระดับ Critical ที่รู้จักกันในชื่อ Broccoli2Shell หรืออีกชื่อหนึ่งคือ Node2Shell และ HTTP2Shell

ช่องโหว่ที่มีความรุนแรงระดับ Critical นี้มีหมายเลข CVE-2026-111497 มีสาเหตุมาจากช่องโหว่ Out-of-bounds write ในตัวถอดรหัส Brotli ซึ่งทำหน้าที่ decompressed ข้อมูลที่ถูก Compressed ด้วย Compression algorithm ข้อมูลแบบ Lossless ของ Google ที่มีการใช้งานอย่างแพร่หลาย

HTTP2Shell ส่งผลกระทบต่อ HTTP client และเซิร์ฟเวอร์ รวมถึงแอปพลิเคชัน และเครื่องมืออื่น ๆ ที่อาศัยการทำงานของ Brotli ในเวอร์ชันที่มีช่องโหว่

หากการโจมตีสำเร็จ ผู้โจมตีที่ไม่มีสิทธิ์จะสามารถใช้ Compressed stream ด้วย Brotli ที่ถูกสร้างขึ้นมาเป็นพิเศษเพื่อทำให้ระบบหยุดทำงาน (Crash) หรือเกิด Memory leak และในบางกรณีอาจสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกล (RCE) บนอุปกรณ์ที่มี Binaries หรือ Libraries ของ Brotli ที่มีช่องโหว่ได้

ตามประกาศด้านความปลอดภัยของ Microsoft ที่เผยแพร่เมื่อวันอาทิตย์ที่ผ่านมา ผู้โจมตียังสามารถใช้ประโยชน์จากช่องโหว่นี้เพื่อยกระดับสิทธิ์บนระบบที่ติดตั้ง .NET ซึ่งยังไม่ได้แพตช์ และใช้การตั้งค่าที่ไม่ใช่ค่า Default

Microsoft ระบุว่า "แอปพลิเคชันอาจได้รับผลกระทบหากมีการประมวลผลข้อมูลที่ Compressed ด้วย Brotli ผ่านฟีเจอร์ ASP.NET Core request decompression, HttpClient automatic response decompression หรือ API ในกลุ่ม System.