Brotli açığı CISA’nın acil listesine girdi

Google’ın Brotli sıkıştırma kütüphanesindeki bellek hatası, CVE-2026-111497 kaydıyla yalnızca Node.js’i değil, Brotli kod çözücüsünü kendi içinde taşıyan onlarca uygulamayı ilgilendiriyor. CISA, açığı 27 Ekim 2026’da Bilinen Sömürülen Açıklar (KEV) kataloğuna ekledi ve kurumlar için kapatma son tarihini 10 Kasım 2026 olarak duyurdu.

Hata nasıl çalışıyor

Sorun, kod çözücünün geçersiz bir blok türü geçişini kalıcı biçim hatası yerine “daha fazla veri gerekiyor” olarak bildirmesinden kaynaklanıyor. Akış halinde çalışan çözücü bu yüzden 8 baytlık iç tampona veri eklemeyi sürdürüyor ve tamponun sonunu aşıyor. Node.js güvenlik bültenine göre saldırganın hazırladığı sıkıştırılmış veriyi bir uygulama açtığında süreç belleği bozuluyor; sonuç çökme, bellekteki verilerin sızması ya da uzaktan kod çalıştırma olabiliyor.

Hata 1.0.3 ile 1.2.0 arasındaki tüm Brotli sürümlerini kapsıyor. CVSS 4.0 puanı 9,2 ve Google’ın CVE kaydı açığı kritik olarak işaretliyor. Düzeltme aslında Şubat 2026’da kaynak kodda yapıldı, ancak resmi sürümlere ancak 21 Ekim’de girdi; aradaki sürede hatayı taşıyan kopyalar dağıtılmaya devam etti.

Hangi ürünler etkileniyor

Brotli 1.0.10, 1.1.1 ve 1.2.1 sürümleri düzeltmeyi içeriyor. Açığı kapatan diğer sürümler: Node.js 22.23.4, 24.22.1 ve 26.12.1; Bun 1.4.4; .NET 8.0.33, 9.0.22 ve 10.0.14; Python için brotli 1.2.1 ve brotlicffi 1.2.1.0. Envoy, Istio ve Brotli4j de güncellemelerini yayımladı.

Son kullanıcı tarafında tablo daha karışık. Chromium tabanlı tarayıcılarda Chrome 148 ve üzeri sürümler düzeltilmiş kopyayı taşıyor; Edge ve WebView2 için de 148 ve sonrası güvenli kabul ediliyor. Firefox’ta 150, ESR 140.10 ve ESR 115.35 sürümleri düzeltilmiş Brotli ile geliyor. Daha eski tarayıcılar hâlâ açık kod çözücüyü çalıştırıyor.

Masaüstü uygulamaları da listede. Electron 42 öncesi sürümlerle paketlenen Signal, Slack ve Discord gibi uygulamalar, ayrıca 7-Zip-zstd, NanaZip, p7zip, SumatraPDF, MuPDF, Ghostscript ve libjxl gibi araçlar etkilenen Brotli kopyaları taşıyabiliyor. Bazı projeler farkında olmadan düzeltti; örneğin Ghostscript, Brotli güncellemesini kendi paketine erken aldı.

Neden şimdi önemli

Açığın kamuya açık deneme kodları GitHub’da dolaşıyor. ELLIO adlı güvenlik ekibi 26 Ekim’de kendi sensörlerinde Node.js 24.22.0 sürümüne yönelik sömürü trafiği gördüğünü açıkladı; bu gözlem bağımsız olarak doğrulanmadı. CISA’nın katalog kaydı ise açığın fidye yazılımı kampanyalarında kullanıldığını da not ediyor, yani teorik bir risk değil.

Saldırı için kullanıcının bir bağlantıya tıklaması gerekmiyor. Yeterli olan, bir uygulamanın saldırganın gönderdiği sıkıştırılmış veriyi açması: hazırlanmış bir HTTP yanıtı ya da doğrudan sunucuya gönderilen sıkıştırılmış istek gövdesi bunun için yeterli.

Ne yapmalı

Tarayıcıları ve masaüstü uygulamalarını en son sürüme güncellemek ilk adım. Sunucu tarafında Node.js, .NET, Bun ve Python paketlerini yukarıdaki düzeltilmiş sürümlere çekmek, ardından süreçleri yeniden başlatmak gerekiyor. Konteyner imajları eski kütüphaneyi taşıyorsa yeniden derlenip dağıtılmalı.

Önemli bir ayrıntı: sistemdeki Brotli kütüphanesini güncellemek, kendi içinde ayrı bir Brotli kopyası taşıyan Node.js ve benzeri uygulamaları kurtarmıyor. Bu uygulamaların kendisi güncellenmeli. Hangi kopyaların etkilendiğini takip eden Brotli açık sayfası da ürün bazlı liste yayımlıyor.

Kaynak: CISA KEV · NVD