← Zur Übersicht aller Beiträge
CISA bestätigt aktive Angriffe auf Brotli-Lücke
CISA bestätigt aktive Angriffe auf Brotli-Lücke
CISA hat CVE-2026-111497 am 27. Oktober in den KEV-Katalog aufgenommen. Damit ist die Ausnutzung der Brotli-Schwachstelle bestätigt; betroffen sind mehr Laufzeiten und Anwendungen als nur Node.js.
Oktober in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.** Das ist ein materielles Delta zur ursprünglichen Patchwarnung: Die Ausnutzung der Brotli-Lücke gilt nun als behördlich bestätigt, und die US-Frist für die vorgeschriebene Behandlung betroffener Systeme endet am 10. November 2026.
Die Schwachstelle steckt im Decoder der Kompressionsbibliothek Brotli. Ein präparierter komprimierter Datenstrom kann angrenzenden Speicher beschädigen, Informationen offenlegen, einen Absturz verursachen oder möglicherweise Code ausführen. Betroffen sind laut Hersteller die Versionslinien 1.0.3 bis vor 1.0.10, 1.1.0 bis vor 1.1.1 und 1.2.0 bis vor 1.2.1.
Der neue Stand seit 27. Oktober
Google hat korrigierte Brotli-Versionen 1.0.10, 1.1.1 und 1.2.1 veröffentlicht. Die CISA-Einstufung ergänzt jetzt den Nachweis praktischer Ausnutzung. SecurityWeek berichtet zusätzlich über Angriffversuche, die zwei Betreiber von Honeypots beobachtet haben; mindestens ein Versuch sei technisch fehlerhaft gewesen. Das begrenzt die Aussage über Erfolg und Reichweite, ändert aber nichts am KEV-Status.
Die Lücke betrifft nicht nur eigenständig installierte Brotli-Pakete. Bibliotheken und Laufzeiten können den Decoder eingebettet oder statisch verlinkt enthalten. Microsoft beschreibt beispielsweise betroffene .NET-Szenarien, wenn Anwendungen nicht vertrauenswürdige Brotli-Daten ausdrücklich dekomprimieren. ASP.NET Core und HttpClient aktivieren dies in den Standardkonfigurationen nicht automatisch.
Was Betreiber jetzt prüfen sollten
Zuerst ist eine Inventur nötig: Welche Anwendungen, Container, Laufzeiten, Reverse Proxies oder Bibliotheken verarbeiten Brotli-komprimierte Daten? Ein Update des Betriebssystems allein genügt nicht zwingend, wenn eine Anwendung eine eigene Kopie mitbringt. Abhängigkeitsscans sollten deshalb auch eingebettete und statisch gelinkte Komponenten erfassen.
Wo ein Update nicht sofort möglich ist, empfiehlt sich als vorübergehende Maßnahme, die Dekompression nicht vertrauenswürdiger Brotli-Daten zu deaktivieren oder den Zugriff auf betroffene Dienste zu begrenzen. Eine solche Änderung muss getestet werden, weil sie Web- und API-Verkehr beeinflussen kann. Der Patch bleibt die bevorzugte Lösung.
Nach dem Update sollten Teams Logs und Telemetrie auf ungewöhnliche Abstürze, Speicherfehler und verdächtige komprimierte Anfragen prüfen. CISA nennt keine öffentlich belegte Opferzahl und ordnet die Aktivität keiner bekannten Ransomware-Kampagne zu.
Abgrenzung zur Meldung vom 24. Oktober
Der vorhandene Beitrag vom 24. Oktober erklärte die technische Node.js-/Brotli-RCE und die damals verfügbaren Patches. Der neue Nachrichtenwert ist nicht eine zweite Patchankündigung, sondern die behördliche Bestätigung aktiver Ausnutzung, die neue KEV-Frist und der breitere Komponentenblick über Node.js hinaus. Der ältere Text bleibt unverändert, damit eine bereits erteilte Freigabe nicht entzogen wird.
CISA hat CVE-2026-111497 am 27. Oktober in den KEV-Katalog aufgenommen. Damit ist die Ausnutzung der Brotli-Schwachstelle bestätigt; betroffen sind mehr Laufzeiten und Anwendungen als nur Node.js.
Oktober in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.** Das ist ein materielles Delta zur ursprünglichen Patchwarnung: Die Ausnutzung der Brotli-Lücke gilt nun als behördlich bestätigt, und die US-Frist für die vorgeschriebene Behandlung betroffener Systeme endet am 10. November 2026.
Die Schwachstelle steckt im Decoder der Kompressionsbibliothek Brotli. Ein präparierter komprimierter Datenstrom kann angrenzenden Speicher beschädigen, Informationen offenlegen, einen Absturz verursachen oder möglicherweise Code ausführen. Betroffen sind laut Hersteller die Versionslinien 1.0.3 bis vor 1.0.10, 1.1.0 bis vor 1.1.1 und 1.2.0 bis vor 1.2.1.
Der neue Stand seit 27. Oktober
Google hat korrigierte Brotli-Versionen 1.0.10, 1.1.1 und 1.2.1 veröffentlicht. Die CISA-Einstufung ergänzt jetzt den Nachweis praktischer Ausnutzung. SecurityWeek berichtet zusätzlich über Angriffversuche, die zwei Betreiber von Honeypots beobachtet haben; mindestens ein Versuch sei technisch fehlerhaft gewesen. Das begrenzt die Aussage über Erfolg und Reichweite, ändert aber nichts am KEV-Status.
Die Lücke betrifft nicht nur eigenständig installierte Brotli-Pakete. Bibliotheken und Laufzeiten können den Decoder eingebettet oder statisch verlinkt enthalten. Microsoft beschreibt beispielsweise betroffene .NET-Szenarien, wenn Anwendungen nicht vertrauenswürdige Brotli-Daten ausdrücklich dekomprimieren. ASP.NET Core und HttpClient aktivieren dies in den Standardkonfigurationen nicht automatisch.
Was Betreiber jetzt prüfen sollten
Zuerst ist eine Inventur nötig: Welche Anwendungen, Container, Laufzeiten, Reverse Proxies oder Bibliotheken verarbeiten Brotli-komprimierte Daten? Ein Update des Betriebssystems allein genügt nicht zwingend, wenn eine Anwendung eine eigene Kopie mitbringt. Abhängigkeitsscans sollten deshalb auch eingebettete und statisch gelinkte Komponenten erfassen.
Wo ein Update nicht sofort möglich ist, empfiehlt sich als vorübergehende Maßnahme, die Dekompression nicht vertrauenswürdiger Brotli-Daten zu deaktivieren oder den Zugriff auf betroffene Dienste zu begrenzen. Eine solche Änderung muss getestet werden, weil sie Web- und API-Verkehr beeinflussen kann. Der Patch bleibt die bevorzugte Lösung.
Nach dem Update sollten Teams Logs und Telemetrie auf ungewöhnliche Abstürze, Speicherfehler und verdächtige komprimierte Anfragen prüfen. CISA nennt keine öffentlich belegte Opferzahl und ordnet die Aktivität keiner bekannten Ransomware-Kampagne zu.
Abgrenzung zur Meldung vom 24. Oktober
Der vorhandene Beitrag vom 24. Oktober erklärte die technische Node.js-/Brotli-RCE und die damals verfügbaren Patches. Der neue Nachrichtenwert ist nicht eine zweite Patchankündigung, sondern die behördliche Bestätigung aktiver Ausnutzung, die neue KEV-Frist und der breitere Komponentenblick über Node.js hinaus. Der ältere Text bleibt unverändert, damit eine bereits erteilte Freigabe nicht entzogen wird.
Quellen
Transparenz: Konzept, Auswahlkriterien und inhaltliche Vorgaben stammen von Christian Hohlfeld. Recherche und Formulierung wurden nach diesen Vorgaben mit KI-Werkzeugen unterstützt. Redaktionell geprüft und freigegeben von Christian Heinrich Hohlfeld am .