Еще на прошлой неделе отметили, что пока все были заняты обсуждением двух RCE в PHP-серверах (известных как PHP2Shell), другая критичная ошибка осталась почти незамеченной (по крайней мере, для тех, кто не подписан на Secator), хотя имеет столь же широкое влияние и серьезность. Сама проблема позволяет осуществлять атаки с RCE против любого приложения, сервера или инструмента управления трафиком, обрабатывающего предоставленные пользователем данные, сжатые в формате Brotli от Google. Он стал популярным после того, как Google открыл его исходный код более десяти лет назад. По сути, уязвимость представляет собой ошибку повреждения памяти. Она позволяет злоумышленникам, отправляющим на сервер специально созданные данные, закодированные в формате Brotli, записывать вредоносный код в память сервера за пределами тех областей, где ожидается обработка данных. Для этого не требуется никакой аутентификации, и поскольку это реализовано в коде Brotli, это также влияет на все библиотеки, использующие эту реализацию. При этом потенциальный радиус воздействия просто колоссален. Если PHP2Shell влияет только на веб-серверы PHP, то Brotli влияет практически на всё, независимо от языка программирования. Первым проектом, исправившим эту ошибку, стал Node.js, поэтому первоначально она называлась Node2Shell, по аналоги с PHP2Shell. После выхода патча для Brotli он начал интегрироваться во все нижестоящие проекты, и вырисовывалась гораздо более масштабная картина, выходящая далеко за рамки первоначального патча для Node.js. Были выпущены обновления для ряда интеграций Python Brotli, среды выполнения JavaScript Bun, прокси-сервера Envoy и платформы управления трафиком Istio. Ожидается, что многие другие проекты в скором времени подтвердят влияние и также выпустят собственные наборы исправлений, что вызовет волну обновлений по всей экосистеме DevOps в ближайшие месяцы. Учитывая столь внушительный объем исправлений изначальное наименование уязвимости, Node2Shell, теперь трансформировалась в HTTPS2Shell, Brocolli2Shell и Brotlipocalypse, создав некую путаницу в отношении наименования ошибки. Учитывая такое количество названий, на данном этапе, вероятно, проще просто ссылаться на уязвимость по её CVE - CVE-2026-111497. Брендирование уязвимостей в некоторых случаях полезно, но в данном случае это имело обратный эффект. Исследователи Trail of Bits на прошлой неделе выпустили инструмент для аудита кода и подтверждения его уязвимости - после чего можно смело начинать поиск патча, если он доступен. Также доступны некоторые правила обнаружения. Как и в случае с PHP2Shell, эта ошибка также была обнаружена с помощью инструментов ИИ. Node.js выразила благодарность Хаю Трану и Сильви Майер из команды OpenAI Codex Security. В целом же, как мы ранее сообщали, тренд начинает работать: прошедшая неделя действительно вошла в историю по количеству раскрытых уязвимостей. И по всей видимости, это только начало.