Was als einzelne Schwachstelle in der weit verbreiteten Kompressionsbibliothek Brotli begann, entwickelt sich zunehmend zu einem der folgenreichsten Sicherheitsvorfälle des Herbstes 2026. Brotli, der von Google entwickelte quelloffene Datenkompressionsalgorithmus, der speziell für moderne Webanwendungen optimiert wurde, steckt in einer Vielzahl von Produkten und Laufzeitumgebungen. Genau das macht die nun entdeckte Schwachstelle so brisant: Überall dort, wo Brotli eingesetzt wird, besteht potenziell eine Angriffsfläche. Der Oktober 2026 geht damit als schwarzer Monat in die IT-Sicherheitsgeschichte ein.

Die Wurzel des Problems: CVE-2026-111497 im Brotli-Decoder

Den Ausgangspunkt der aktuellen Sicherheitskrise bildet die Schwachstelle mit der Kennung CVE-2026-111497. Der Imperva-Sicherheitsforscher Ron Masas von Thales Security hat die Lücke unter dem Namen Node2Shell öffentlich gemacht. Im Kern handelt es sich um einen Buffer-Überlauf im Brotli-Decoder: Beim Verarbeiten gezielt präparierter, komprimierter Daten kann ein Schreibzugriff außerhalb des zulässigen Speicherbereichs erfolgen. Das Resultat ist im schlimmsten Fall eine Remote-Code-Ausführung, kurz RCE – also die Möglichkeit für Angreifer, beliebigen Code auf einem fremden System auszuführen.

Erstmals wurde die Schwachstelle im Kontext der JavaScript-Laufzeitumgebung Node.js öffentlich diskutiert. Betroffen sind die Versionen 22, 24 und 26 von Node.js. Sicherheitsexperte Florian Roth ordnete die Lücke als gravierender ein, als viele zunächst annahmen – eine Einschätzung, die sich angesichts der wachsenden Zahl betroffener Softwarepakete als zutreffend erweist. Die CVSS-Bewertung von 9,8 unterstreicht die Kritikalität der Schwachstelle zusätzlich.

Ausweitung auf Python und .NET: Notfallpatches werden nötig

Schon kurz nach Bekanntwerden von Node2Shell wurde deutlich, dass das Problem weit über Node.js hinausgeht. Unter dem Namen HTTP2Shell wurde publik, dass die Brotli-Schwachstelle auch die Programmiersprache Python betrifft. Das Fachportal Bleeping Computer berichtete über die Notfallpatches, die daraufhin für Node.js und Python veröffentlicht wurden.

Noch nicht genug: Am 26. Oktober 2026 veröffentlichte Microsoft Notfall-Updates für alle aktuellen .NET-Versionen. Die Updates adressieren gleich zwei Sicherheitslücken: den bereits bekannten Pufferüberlauf im Brotli-Decoder (CVE-2026-111497) sowie eine Schwachstelle zur Rechteerweiterung in ASP.NET Core (CVE-2026-114148). Nutzer berichten, dass die Updates auf ihren Windows-10-Systemen still und ohne vorherige Ankündigung installiert wurden. Microsoft hat die Updates offiziell im Support-Beitrag zu den .NET October 2026 Out-of-Band Security Updates dokumentiert.

Besonders besorgniserregend: Auch in deinstallierten oder deaktivierten Copilot-Komponenten schlummert unter Windows 10 und Windows 11 offenbar noch ein nicht aktualisiertes Brotli – ein Befund, der zeigt, wie tief die Bibliothek in moderne Betriebssystemkomponenten eingebettet ist.

broccoli2shell: Das Ausmaß des Brotli-Schadens wird sichtbar

Unter dem Sammelbegriff broccoli2shell wird inzwischen die Gesamtheit der von der Brotli-Schwachstelle betroffenen Software zusammengefasst. Eine gleichnamige Übersichtsseite listet die betroffenen Produkte auf und verdeutlicht, wie weit verbreitet die Bibliothek tatsächlich ist. Zu den bekannten betroffenen Softwarepaketen gehören unter anderem:

• 7-Zip-zstd (Version 1.2.0): Betroffen beim Öffnen von .br-Archiven, nachverfolgt unter Issue #579.
• Apache Arrow (gebündelt, Version 1.0.9): Schwachstelle bei komprimierten Parquet-Dateien, Migration auf Brotli 1.0.10 eingeleitet.
• DuckDB: Noch nicht gepatcht, ein Fix ist jedoch in Arbeit (PR #27791).
• EDK II (Version 1.2.0): Betroffen bei komprimierten Firmware-Sektionen, nachverfolgt unter Issue #13378.
• p7zip (Version 1.0.9): Schwachstelle beim Öffnen von Archiven und .br-Dateien.
• v8-jsi (Version 1.2.0): Bündelt Node.js und ist damit ebenfalls betroffen.
• woff2 (Version 1.0.3): Betrifft die Dekomprimierung von Webfonts, ein Fix liegt als PR #208 vor.

Auch populäre Desktop-Anwendungen wie GIMP 3.2.6, Paint.NET 5.1.12, das Screenshot-Tool ShareX, der Videoeditor Shotcut und XnViewMP wurden als Träger der betroffenen Brotli-DLLs identifiziert. Die Bibliothekskomponenten finden sich dabei tief in den Programmverzeichnissen dieser Anwendungen. Für Endanwender bedeutet das: Ein Blick auf den eigenen Rechner kann sich lohnen, um zu prüfen, welche Anwendungen möglicherweise verwundbare Brotli-Versionen mitbringen.

Fazit: Patch-Management steht vor harten Wochen

Die Brotli-Schwachstelle broccoli2shell führt eindrucksvoll vor Augen, welche weitreichenden Konsequenzen eine einzelne Sicherheitslücke in einer weit verbreiteten Open-Source-Bibliothek haben kann. Von Node.js über Python bis hin zu Microsofts .NET-Ökosystem und zahlreichen Desktop-Anwendungen – die Angriffsfläche ist enorm. Der CVSS-Score von 9,8 macht deutlich, dass hier kein moderates Risiko, sondern eine ernsthafte Bedrohung vorliegt.

Systemadministratoren und Entwickler sind gut beraten, ihre Softwarebestände umgehend auf betroffene Brotli-Versionen zu prüfen und verfügbare Patches zeitnah einzuspielen. Für viele Produkte stehen Notfallpatches bereits zur Verfügung, für andere – wie DuckDB – laufen die Fixes noch. Die kommenden Wochen werden zeigen, wie schnell das gesamte Ökosystem auf diese Bedrohung reagieren kann. IT-Sicherheitsteams sollten die Seite broccoli2shell im Auge behalten, um den Überblick über den Patch-Status betroffener Software zu behalten.

Quelle: Das Brotli-Desaster (broccoli2shell): Node.js, Python … und jetzt .Net
Dieser Beitrag wurde mit KI-Unterstützung erstellt.