Em 21 de outubro de 2026, o Node.js lançou atualizações para corrigir várias vulnerabilidades, entre elas uma falha no decodificador Brotli, identificada como CVE-2026-111497. A falha ficou conhecida como Node2Shell, e também é chamada de Broccoli2Shell e HTTP2Shell. Ela é classificada como crítica, com nota 9,2 no CVSS, a escala que mede a gravidade de falhas de segurança.

O Brotli é uma biblioteca usada para comprimir e descomprimir dados, como uma espécie de ferramenta que encolhe arquivos para circularem mais rápido pela internet. A falha é um buffer overflow, ou seja, um erro em que o programa recebe mais dados do que espera e acaba escrevendo fora do espaço reservado para eles, como um copo que transborda. Ela existe em várias versões da biblioteca do Google, e por isso produtos que dependem dessas implementações podem estar vulneráveis.

Se explorada com sucesso, a falha pode levar à divulgação de trechos da memória do sistema, à negação de serviço, que deixa o serviço fora do ar, ou à execução remota de código, quando um atacante consegue rodar comandos no equipamento à distância.

A agência de segurança dos EUA, CISA, informou que já há exploração ativa da falha e a incluiu em seu catálogo de vulnerabilidades exploradas (KEV) em 27 de outubro. Esse catálogo reúne falhas que estão sendo usadas por criminosos de fato, por isso merece atenção prioritária.

Os pesquisadores da Counter Threat Unit recomendam que as organizações identifiquem as bibliotecas Brotli ou binários vulneráveis em seus ambientes e atualizem para a versão mais recente, conforme o caso. Também é importante avaliar quais produtos internos podem estar em risco. Fornecedores como Microsoft e PHP já publicaram atualizações para corrigir o problema em seus produtos.

Na prática, quem administra servidores e aplicações deve verificar se usa algum produto com Brotli, aplicar as correções oficiais de cada fabricante e manter os sistemas atualizados. A SophosLabs disse que continua monitorando a situação e vai disponibilizar detecções e proteções conforme ficarem prontas.