I detta inlägg (3 avsnitt)
Den 22 oktober 2026 publicerades en kritisk sårbarhet i Brotli, Googles bibliotek för att packa upp komprimerad data. Sårbarheten har fått beteckningen CVE-2026-111497 och kallas också Node2Shell, eftersom Brotli är inbyggt i Node.js. Den har fått 9,2 av 10 i allvarlighetsgrad (CVSS 4.0).
Felet sitter i den del av Brotli som packar upp data. Skickar en angripare specialgjord komprimerad data till ett program som packar upp den kan programmet krascha, lämna ut innehåll ur minnet eller i värsta fall köra angriparens kod. Det krävs ingen inloggning.
Vem berörs?
Det som berörs är program som packar upp Brotli-data från någon annan, till exempel en Node.js-app som hämtar data från andra webbplatser med fetch(), eller som tar emot komprimerade förfrågningar. Sårbara är Brotli 1.0.3 till och med 1.2.0, och de Node.js-versioner som har en sådan Brotli inbyggd.
En vanlig WordPress- eller PHP-sajt packar normalt inte upp Brotli-data från besökare, så den berörs inte på samma sätt. När en webbserver skickar komprimerade sidor till besökarna är det den andra delen av Brotli, den som packar ihop, som används.
Det här behöver du göra
- Kör du Node.js, till exempel en egen app eller på en VPS: uppdatera till Node.js 22.23.4, 24.22.1 eller 26.12.1. Node.js 20 och äldre får inga rättelser, så där behöver du byta till en version som stöds.
- Har du en VPS eller egen server: installera systemets säkerhetsuppdateringar. Rättade Brotli-versioner är 1.0.10, 1.1.1 och 1.2.1.
- Använder du program eller tillägg som hämtar data från andra sajter: håll dem uppdaterade, eftersom många av dem bygger på Node.js eller Brotli.
Den 26 oktober fanns inga kända fall där sårbarheten utnyttjats, men den är lätt att angripa över nätet. Uppdatera därför så snart du kan.
Källor: Node.js säkerhetsmeddelande, oktober 2026 och CVE-2026-111497 hos NVD.
Frågor?
Är du osäker på om din tjänst berörs hjälper vi dig gärna. Skapa ett ärende i kundpanelen eller hör av dig via kontaktsidan.