Crítica 9,2Exploração ativaCTIR Gov
Vulnerabilidade em Google Brotli
- Gravidade
- Crítica
- CVSS 9,2 (v4.0)
- Exploração ativa
- Confirmada
- catálogo KEV da CISA desde 27 out 2026
- Chance de exploração
- 88,0%
- EPSS, próximos 30 dias
- Fontes
- 3
- 2 oficiais
Resumo
Foi divulgada uma vulnerabilidade em Google Brotli. A gravidade é crítica, com nota CVSS 9,2.
Há evidência de exploração ativa: a agência americana CISA incluiu a falha no catálogo KEV em 27 out 2026.
O CTIR Gov, centro de resposta a incidentes do Governo Federal, publicou o Alerta 102/2026.
O modelo EPSS estima 88,0% de chance de exploração nos próximos 30 dias.
Versões afetadas
- Brotli: 1.0.3 até antes de 1.0.10
- Brotli: 1.1.0 até antes de 1.1.1
- Brotli: 1.2.0 até antes de 1.2.1
Segundo o registro oficial do CVE. Confira a versão exata com o fabricante.
O que fazer
- Verifique se a sua empresa usa Google Brotli e em qual versão.
- Aplique a atualização de segurança do fabricante (veja as referências abaixo).
- Se não der para atualizar agora, reduza a exposição, por exemplo restringindo o acesso pela internet. Isso não substitui a correção.
- Como a falha já está sendo explorada, procure sinais de comprometimento nos sistemas que ficaram expostos.
Linha do tempo das fontes
- The Hacker Newsimprensa Brotli Decoder Flaw Behind Node.js RCE Also Affects Bun, Python and Other Widely Used Software
- The Hacker Newsimprensa PHP Issues Second Windows Security Update in Five Days to Fix Brotli Code Execution Flaw
- CISA KEVoficial Incluída no catálogo KEV: exploração ativa confirmada
- CTIR Govoficial Alerta 102/2026 do CTIR Gov
- The Hacker Newsimprensa Adobe Commerce PolyShell Attacks Breach Hundreds of Stores as Brotli Exploit Traffic Emerges
Descrição oficial CVE.org, em inglês
A buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0 on all platforms allows a remote unauthenticated attacker to corrupt adjacent decoder state memory, disclose sensitive memory contents, cause a denial of service, or potentially execute arbitrary code using a crafted Brotli-compressed stream.
Users need to update any Brotli libraries or binaries between 1.0.3 through 1.2.0 to the latest available version: 1.0.10 or 1.1.1 or 1.2.1.
Referências
Este alerta reúne informação pública de fontes oficiais e da imprensa especializada, revisada pela equipe InfocuestaSec antes de publicar. Ele não substitui o comunicado do fabricante. Não publicamos códigos de exploração.