Ancaman Brotli Meluas: Dari Node2Shell Menjadi HTTP2Shell
Reynald
24 Oktober 2026
2 menit baca
Aikido Security memperingatkan bahwa kerentanan CVE-2026-111497 telah berevolusi menjadi ancaman yang lebih luas. Sebelumnya dikenal memengaruhi Node.js (disebut Node2Shell) dan paket Python, kini isu ini disebut “HTTP2Shell” karena dampaknya menjangkau banyak library serta aplikasi yang menggunakan dekompresi Brotli dalam penanganan HTTP.
Menurut peringatan tersebut, kerentanan ini dapat memungkinkan remote code execution (RCE) sebelum autentikasi melalui proses dekompresi Brotli. Perbaikan belum tersedia untuk semua layanan yang terdampak. Pengguna disarankan memantau dan menerapkan upgrade dependency Brotli ke versi 1.2.1 begitu tersedia.
| Aspek | Detail |
|---|---|
| CVE | CVE-2026-111497 |
| Komponen | Brotli decoder (out-of-bounds write) |
| Nama Populer | Node2Shell → HTTP2Shell |
| Dampak | Pre-auth RCE, memory disclosure, DoS |
| Fix Brotli | Versi 1.2.1 (dan setara di binding terkait) |
Apa Itu Kerentanan Ini?
CVE-2026-111497 merupakan out-of-bounds write di decoder Brotli milik Google. Bug ini memungkinkan stream Brotli yang dibuat secara khusus memicu korupsi memori, kebocoran data, denial-of-service, atau potensi eksekusi kode arbitrer.
Karena Brotli banyak digunakan untuk kompresi HTTP (Content-Encoding: br), kerentanan dapat tercapai ketika aplikasi atau library melakukan dekompresi data yang tidak dipercaya—baik pada request body maupun response—sering kali sebelum logika aplikasi sendiri dijalankan.
Cakupan Dampak
Awalnya isu ini menonjol di Node.js (di mana decoder Brotli dibundel), sehingga mendapat julukan Node2Shell. Kemudian terungkap bahwa paket Python di PyPI (Brotli dan brotlicffi) yang memakai source C yang sama juga terdampak.
Aikido menilai ancaman telah berkembang menjadi “HTTP2Shell” karena banyak library dan aplikasi yang menangani HTTP dengan dukungan Brotli berpotensi terpapar. Blast radius-nya dianggap signifikan, dan tidak semua layanan memiliki patch lengkap pada saat peringatan dikeluarkan.
Langkah Mitigasi
• Perbarui runtime Node.js ke versi yang sudah diperbaiki (22.23.4, 24.22.1, atau 26.12.1) jika menggunakan Node.js.
• Untuk lingkungan Python, upgrade paket Brotli ke ≥ 1.2.1 dan brotlicffi ke ≥ 1.2.1.0.
• Pantau dan terapkan upgrade dependency Brotli 1.2.1 di semua layanan atau library yang menggunakannya.
• Prioritaskan sistem yang menerima atau memproses data Brotli dari sumber tidak terpercaya (request body maupun response eksternal).
• Lakukan inventarisasi dependency dan container image untuk menemukan versi Brotli yang rentan.
Mengapa Ini Penting?
Karena dekompresi sering terjadi di lapisan awal penanganan HTTP, serangan berpotensi terjadi sebelum autentikasi atau validasi aplikasi. Kombinasi pre-auth dan potensi RCE membuat isu ini berisiko tinggi, terutama bagi layanan yang mengekspos endpoint ke internet.
Gelombang kerentanan minggu ini—termasuk PHP2Shell, isu GitLab, dan sekarang perluasan Brotli—menegaskan pentingnya patch management yang cepat serta visibilitas terhadap dependency yang digunakan.
Jika perusahaan Anda membutuhkan bantuan dalam audit keamanan, inventarisasi dependency, patch management, atau pengamanan aplikasi web dan infrastruktur, tim Clovertechno siap membantu. Kunjungi clovertechno.id untuk konsultasi jasa pembuatan software dan solusi keamanan digital sesuai kebutuhan bisnis Anda.
