განახლებები უკვე გამოვიდა, თუმცა სისტემური ფაილის შეცვლა საკმარისი არ არის და ყველა აპლიკაციას ცალკე გადატვირთვა სჭირდება.
Google-ის Brotli-ს მონაცემთა შეკუმშვის ბიბლიოთეკაში კრიტიკული ხარვეზი აღმოაჩინეს, რომელიც ჰაკერებს პროგრამების სრულად დამორჩილების საშუალებას აძლევს. ეს ხელსაწყო პირდაპირ ჩაშენებულია Node.js-ში, Python-ის ხელსაწყოებსა და Microsoft-ის .NET პლატფორმაში. ინფორმაციას გამოცემა BleepingComputer ავრცელებს. Google-მა, Node.js-მა და Microsoft-მა დამცავი განახლებები უკვე გამოუშვეს.
როგორ მუშაობს შეტევა
Brotli არის Google-ის ღია კოდის მქონე შეკუმშვის ბიბლიოთეკა, ანუ პროგრამული ხელსაწყო, რომელიც მონაცემებს აპატარავებს, რათა ისინი ქსელში უფრო სწრაფად გადაადგილდეს. ახალ სისუსტეს ოფიციალურად CVE-2026-111497 ეწოდება, თუმცა უსაფრთხოების სპეციალისტები მას HTTP2Shell-ის, Node2Shell-ისა და Broccoli2Shell-ის სახელითაც მოიხსენიებენ.
პრობლემა მაშინ იჩენს თავს, როდესაც პროგრამა სპეციალურად შექმნილ, მავნე შეკუმშულ მონაცემებს ხსნის. ეს შეიძლება ჩვეულებრივი ვებმოთხოვნა ან სერვერის პასუხი იყოს. ამ დროს დეკოდერი 8-ბაიტიან შიდა მეხსიერებაში იმაზე მეტ ინფორმაციას წერს, ვიდრე ეტევა. ამ პროცესს ბუფერის გადავსება ეწოდება, რაც მეზობელ მეხსიერებას აზიანებს.
რას იწვევს ეს შეცდომა? Node.js-ის გუნდის განმარტებით, ხარვეზს შეუძლია პროცესის გათიშვა, დაცული მეხსიერების გამჟღავნება და კოდის დისტანციურად გაშვება. კოდის დისტანციურად გაშვება ნიშნავს, რომ თავდამსხმელს შეუძლია თქვენს სერვერზე საკუთარი ბრძანებები შორიდან შეასრულოს. უსაფრთხოების კომპანია Imperva ადასტურებს, რომ ასეთი შეტევა რეალურად შესაძლებელია. საფრთხე ეხება Node.js-სა და Python-ის ისეთ პოპულარულ HTTP კლიენტებს, როგორებიცაა urllib3, requests, httpx და aiohttp, თუ ისინი დაუცველ Brotli-ს იყენებენ.
როგორ დავიცვათ სისტემები
Node.js-მა და Google-მა სტაბილური განახლებები 21 ოქტომბერს გამოუშვეს, ხოლო საჯაროდ ხარვეზის შესახებ 22 ოქტომბერს გახდა ცნობილი. Python-ის PyPI პაკეტები 23 ოქტომბერს გასწორდა. კვირას, 25 ოქტომბერს, Microsoft-მა .NET-ისთვის საგანგებო განახლება გამოუშვა და მომხმარებლები უფლებების უკანონო მოპოვების საფრთხეზე გააფრთხილა.
შეტევის სადემონსტრაციო კოდი უკვე საჯაროა, თუმცა რეალური თავდასხმების შესახებ ცნობები ჯერ არ გავრცელებულა. თუ ამ სისტემებს იყენებთ, მხოლოდ განახლების დაყენება საკმარისი არ არის. აუცილებელია ყველა პროცესის გადატვირთვა და კონტეინერების თავიდან აწყობა. გაითვალისწინეთ, რომ ოპერაციულ სისტემაში Brotli-ს განახლება ვერ დაიცავს იმ აპლიკაციებს, რომლებსაც ამ ბიბლიოთეკის საკუთარი ასლი შიგნით აქვთ ჩაშენებული.
| ხარვეზის კოდი | CVE-2026-111497 (HTTP2Shell, Node2Shell, Broccoli2Shell) |
| დაუცველი ვერსიები | Brotli 1.0.3-დან 1.0.9-მდე, 1.1.0 და 1.2.0 |
| შიდა ბუფერის ზომა | 8 ბაიტი |
| დაზარალებული სისტემები | Node.js, Microsoft .NET, Python (urllib3, requests, httpx, aiohttp) |
| Google-ისა და Node.js-ის განახლება | 2026 წლის 21 ოქტომბერი |
| PyPI პაკეტების განახლება | 2026 წლის 23 ოქტომბერი |
| Microsoft-ის საგანგებო განახლება | 2026 წლის 25 ოქტომბერი |
წყარო: BleepingComputer: Critical HTTP2Shell Brotli vulnerability triggers emergency patches (26 Oct 2026)
ეს სტატია შეიქმნა AI ხელსაწყოებით, პროცესში ადამიანის ჩართულობა დაახლოებით 10%-ია.
