Главный вывод: CVE-2026-111497, которую теперь всё чаще называют HTTP2Shell (а изначально сообщалось как Node2Shell), носит более масштабный характер, чем просто уязвимость в Node.js. Эта уязвимость связана с декомпрессией Brotli, поэтому специалистам по защите необходимо найти уязвимые реализации в приложениях и инфраструктуре, подтвердить, могут ли до них добраться неаутентифицированные сжатые данные, и исправить затронутый компонент.
· CVE: CVE-2026-111497
· Затронутый уровень: реализации декомпрессии Brotli, используемые различными средами выполнения и компонентами инфраструктуры
· Главный вопрос риска: могут ли управляемые злоумышленником данные, сжатые с помощью Brotli, достичь уязвимого декодера?
· Неотложный приоритет: обнаружение, оценка доступности, установка патчей, повторное развертывание и поиск угроз
Контекст
Уязвимость HTTP2Shell появилась вскоре после PHP2Shell, однако технически эти уязвимости никак не связаны. Связь носит операционный характер: обе они затрагивают широко используемые базовые технологии, которые могут быть встроены во многие приложения. Это делает видимость зависимостей столь же важной, как и инвентаризация приложений.
Проблема впервые привлекла к себе внимание под именем Node.js, так как Node.js представлял собой очевидный вектор воздействия. Более широкая проблема заключается в том, что уязвимый код Brotli может также присутствовать в других средах выполнения, пакетах, прокси-серверах, компонентах сервис-меша и образах контейнеров. Название HTTP2Shell не означает, что уязвим сам протокол HTTP/2.
Подтвержденная эксплуатация «в дикой природе»: 27 октября 2026 года агентство CISA добавило CVE-2026-111497 в свой каталог известных эксплуатируемых уязвимостей (KEV) на основании свидетельств активной эксплуатации. Организациям следует в первую очередь заняться устранением уязвимостей в доступных затронутых системах. Прочитайте заявление CISA.
Что мы наблюдаем
- Первоначальный взгляд, сфокусированный на Node.js, является слишком узким. Командам безопасности необходимо осуществлять поиск в средах приложений, облачных, контейнерных и инфраструктурных средах.
- Само по себе наличие уязвимого кода еще не позволяет определить приоритетность. Важна доступность: недоверенные сжатые запросы, внешние ответы, файлы или другие данные должны иметь возможность поступать в декодер.
- В первую очередь следует оценить службы, выходящие в интернет, и системы, которые автоматически распаковывают внешние данные Brotli.
О чем говорят наши данные телеметрии
Данные телеметрии системы предотвращения вторжений (IPS) Check Point, связанные с удаленным выполнением кода в Node.js через Brotli (CVE-2026-111497), показывают автоматизированное сканирование уязвимостей и подозрительные полезные нагрузки, потенциально связанные с эксплуатацией.
Масштаб процентов: все приведенные ниже проценты относятся к данным телеметрии, проанализированным для этой оценки, а не ко всем попыткам эксплуатации или глобальной активности.
- Активность, ориентированная на Brotli (90,5%): запросы содержали полезные нагрузки HTTP, закодированные с помощью Brotli, что согласуется с тестированием, нацеленным на уязвимости.
- Автоматизированное сканирование уязвимостей (33,8%): события содержали сигнатуру автоматизации Patrowl, что указывает на систематическое исследование уязвимостей.
- Целевое зондирование конечных точек (24,5%): запросы были направлены на конечные точки загрузки и приема данных, что предполагает целенаправленное тестирование на уязвимости.
- Индикаторы эксплуатации: были зафиксированы поврежденные бинарные полезные нагрузки, необычное обрамление HTTP и ошибки сервера HTTP 500, что требует дальнейшего расследования, но не подтверждает успешную эксплуатацию.
Общая оценка: полученные данные указывают на широкомасштабное автоматизированное сканирование уязвимостей наряду с подозрительной активностью полезной нагрузки. Рекомендуется продолжить исследования и разработку средств защиты. Подтверждение CISA факта эксплуатации в реальных условиях отделено от этих данных телеметрии, которые не устанавливают факт успешного компрометационного воздействия в наблюдаемых событиях.
Что мы обнаружили
Практическая модель воздействия состоит из двух частей:
- Уязвимый компонент: в приложении или сопутствующей инфраструктуре существует затронутая реализация Brotli.
- Доступность для злоумышленника: управляемые злоумышленником данные, сжатые с помощью Brotli, могут дойти до этой реализации.
Потенциально уязвимые среды включают Node.js, пакеты Python Brotli, Bun, .NET, Envoy, Istio, а также программное обеспечение, которое объединяет или статически связывает уязвимый код Brotli. Воздействие на конкретный продукт и исправленные версии следует уточнять в соответствующих рекомендациях поставщика до внесения изменений в развертывание.
Как Check Point помогает защитить организации
Исправление затронутого компонента остается главным способом устранения уязвимости. Средства управления Check Point могут повысить уровень видимости и снизить риски до, во время и после устранения:
IPS-защита: система Check Point IPS обеспечивает специализированную защиту от этой уязвимости под названием «Node.js Brotli Remote Code Execution (CVE-2026-111497)».
- Предотвращение на сетевом уровне и уровне приложений: поддерживайте актуальность средств защиты и сигнатур Check Point и используйте политики предотвращения, соответствующие вашей среде.
- Безопасность веб-приложений и API: проверяйте и ограничивайте ненужные пути для сжатых запросов, особенно там, где приложениям не нужны тела запросов, закодированные с помощью Brotli.
- Управление рисками воздействия: выявляйте затронутые активы, расставляйте приоритеты для доступных из интернета ресурсов, проверяйте возможности эксплуатации там, где это поддерживается, и отслеживайте процесс устранения уязвимостей.
- Обнаружение на конечных точках и рабочих нагрузках: исследуйте сбои, перезагрузки, подозрительные дочерние процессы, неожиданную сетевую активность и ошибки декомпрессии на уязвимых системах.
Ознакомьтесь с соответствующими возможностями Check Point: продукты кибербезопасности Check Point | Центр реагирования на уязвимости
Что вашей команде безопасности нужно сделать прямо сейчас
- Расширьте поиск за пределы Node.js. Проведите инвентаризацию реализаций Brotli в средах выполнения, пакетах, прокси-серверах, сервис-мешах, контейнерах и программном обеспечении со статическим связыванием.
- Проверьте доступность. Определите, где недоверенные сжатые запросы, ответы, файлы или загруженный контент могут достичь уязвимого декодера.
- Установите исправления по вендорам и компонентам. Примените соответствующее обновление от поставщика, пересоберите затронутые образы контейнеров и заново разверните рабочие нагрузки. Убедитесь, что в рабочей среде используется исправленный компонент.
- Снизьте уровень воздействия, если исправление приходится отложить. Отключите ненужную декомпрессию Brotli для недоверенных входных данных, отклоняйте запросы в кодировке Brotli там, где они не требуются, и ограничьте доступ к уязвимым службам. Рассматривайте это как временные меры.
- Проводите поиск угроз во время устранения. Отдавайте приоритет системам, выходящим в интернет и не имеющим патчей. Проверяйте сбои приложений, повторяющиеся перезагрузки, подозрительные процессы, аномальный исходящий трафик и ошибки декомпрессии Brotli.
- Не закрывайте оценку окончательно. Повторно проверяйте инвентаризацию программного обеспечения и рекомендации вендоров по мере появления информации о затронутых продуктах. Не закрывайте инцидент после исправления только Node.js.
Следите за последними рекомендациями
Актуальную информацию для специалистов о новых уязвимостях, затронутых технологиях, средствах защиты и рекомендациях по устранению можно найти в Центре реагирования на уязвимости Check Point.
О предыдущей истории с уязвимостью читайте в статье PHP2Shell: Что нам известно об утечке критических уязвимостей PHP.
Check Point Research | Практическое продолжение по HTTP2Shell
