Foi descoberta uma falha de corrupção de memória no decodificador Brotli, uma biblioteca do Google usada para descompactar dados. Ela foi catalogada como CVE-2026-111497. O Brotli serve para deixar páginas e outros dados da internet menores e mais rápidos de transmitir, e por isso está embutido em muitos programas diferentes, como o Node.js, o Bun, pacotes do Python e proxies do Envoy e do Istio.

A falha funciona assim: um arquivo comprimido feito de propósito pode escrever além do espaço reservado para ele na memória do programa. Isso pode derrubar o programa, vazar informações ou, em teoria, permitir a execução de código controlado por um atacante. A pesquisadora da Imperva mostrou que isso foi possível em uma versão específica do Node.js, mas não há relatos de ataques reais até agora, e o mesmo teste não foi feito nos outros softwares. O Google atribuiu nota 9,2 em uma escala de 0 a 10, classificada como crítica, enquanto o Red Hat deu 8,1.

Quem pode ser afetado depende de como cada programa usa a biblioteca. No Node.js e no Bun, o risco aparece quando o sistema busca conteúdo comprimido com Brotli de outro servidor ou recebe envios comprimidos. No Python, basta o pacote Brotli ou brotlicffi estar instalado, porque clientes HTTP como requests e httpx o usam sozinhos. No Envoy e no Istio, a falha só existe se a descompressão Brotli estiver ativada. Um firewall de aplicação web ajuda apenas parcialmente, pois a Vercel informou que suas regras não cobrem respostas buscadas de outros servidores.

O que fazer: atualize para a versão corrigida de cada programa, reinicie o serviço e recrie as imagens de contêiner, porque processos em execução mantêm o decodificador antigo até reiniciar. Se não der para atualizar agora, as recomendações publicadas são rejeitar requisições com a codificação br, desligar a descompressão automática de Brotli nos clientes HTTP e, no Python, desinstalar os pacotes Brotli e brotlicffi. Para o Node.js ainda não há solução alternativa publicada, então atualizar é a única saída. Pacotes do sistema também estão sendo corrigidos em datas diferentes: o Debian já corrigiu, e a Amazon Linux 2023 ainda estava pendente em 22 de outubro. Ferramentas de verificação de dependências podem não acusar os pacotes Python, então vale conferir as versões instaladas manualmente.