Node2Shell и Brotli: как защитить Node.js и Python-приложения от CVE-2026-111497

21–23 октября 2026 года разработчики Node.js и специалисты по безопасности опубликовали предупреждения об уязвимости CVE-2026-111497 в декодере Brotli. Для владельцев сайтов, SaaS-платформ, CRM и внутренних веб-сервисов это не абстрактная проблема библиотеки: если приложение распаковывает недоверенные данные, ошибка может привести к сбою процесса, раскрытию информации из памяти или выполнению постороннего кода. Но наличие Brotli в проекте само по себе ещё не означает, что конкретный сервер доступен для атаки.

Особенность истории — быстро расширившийся круг потенциально затронутых компонентов. 23 октября независимые исследователи описали влияние на Python-пакеты, а также необходимость проверять встроенные копии Brotli в других средах. Разбираемся, что подтверждено, какие версии обновить и как организовать проверку без остановки бизнеса.

Что именно обнаружили в Brotli

Brotli — формат и библиотека сжатия, применяемые при передаче веб-данных. Приложение получает сжатый поток, а декодер восстанавливает исходное содержимое. Согласно официальному бюллетеню Node.js, специально сформированный поток может вызвать запись за пределами внутреннего буфера декодера. Причина связана с тем, что ошибочный переход между блоками обрабатывался как запрос дополнительных данных, а не как окончательная ошибка формата.

Возможные последствия перечислены разработчиками Node.js: аварийное завершение процесса, раскрытие содержимого памяти и удалённое выполнение кода. Последнее — возможный результат эксплуатации, а не утверждение, что каждый уязвимый сайт уже взломан. Для атаки необходимо, чтобы злоумышленник мог передать данные, которые приложение действительно отправит в уязвимый декодер.

Кому стоит проверить системы в первую очередь

Приоритет — публичные API, сервисы приёма файлов и запросов, парсеры, интеграционные шлюзы и приложения, получающие HTTP-ответы от сторонних ресурсов. Важно выяснить не только версию Node.js, но и путь, по которому потенциально недоверенный Brotli-поток достигает распаковщика. Например, уязвимый пакет может быть транзитивной зависимостью: команда не подключала его явно, но он оказался внутри библиотеки HTTP-клиента.

Отдельное внимание требуется сервисам на Python. Исследование Aikido от 23 октября указывает на пакеты Brotli и brotlicffi и на сценарии, когда популярные HTTP-клиенты используют их автоматически. Проверять стоит и контейнеры, и фоновые обработчики, и окружения тестирования. Обновление исходного репозитория не исправляет уже собранный контейнер, пока тот не пересобран и не развёрнут заново.

Какие версии Node.js содержат исправления

В официальном бюллетене Node.js от 21 октября перечислены обновления для поддерживаемых веток. Сингапурское государственное агентство кибербезопасности отдельно подтвердило 23 октября затронутые версии и необходимость срочного обновления:

• Ветка 22.x: установить 22.23.4 или более новую исправленную версию.
• Ветка 24.x: установить 24.22.1 или более новую исправленную версию.
• Ветка 26.x: установить 26.12.1 или более новую исправленную версию.

Для самостоятельной библиотеки Brotli база GitHub Advisory указывает исправленные версии 1.0.10, 1.1.1 и 1.2.1 в соответствующих ветках. Для Python исследователи называют Brotli 1.2.1 и brotlicffi 1.2.1.0. Однако пакет, поставляемый дистрибутивом Linux или встроенный в сторонний продукт, может иметь собственную схему исправлений: ориентируйтесь на уведомление поставщика, а не только на строку версии.

Практический план на ближайшие сутки

1. Составьте список активных сервисов. Найдите Node.js, Python и продукты, использующие Brotli напрямую либо через зависимости. Проверьте реальные запущенные процессы, а не только файлы проекта.
2. Определите доступные входы. Какие приложения распаковывают данные из внешних запросов, вебхуков, сторонних API или загружаемых файлов? Именно их проверяйте первыми.
3. Сопоставьте версии с бюллетенями. Зафиксируйте установленную версию runtime, пакетов и образов контейнеров, а также ссылку на конкретное исправление.
4. Подготовьте обновление с откатом. Сделайте резервную копию конфигурации и данных, прогоните автоматические тесты, проверьте интеграции и критические пользовательские сценарии.
5. Разверните патч и подтвердите результат. Пересоберите контейнеры, перезапустите процессы, убедитесь, что работает именно исправленная версия, и проверьте ошибки в логах.
6. Зафиксируйте остаточный риск. Если поставщик ещё не выпустил патч, ограничьте обработку недоверенных Brotli-потоков там, где это технически возможно, и запланируйте повторную проверку.

Не следует отключать сжатие на всём сайте без анализа: передача статических файлов и распаковка непроверенных входящих данных — разные сценарии. Также не стоит считать защиту CDN или WAF гарантированной заменой обновления уязвимой библиотеки.

Что это означает для владельца бизнеса

Главный урок CVE-2026-111497 — необходимость видеть цепочку зависимостей от внешнего HTTP-запроса до конкретной библиотеки внутри приложения. Если компания не знает, где работает Node.js, какие Python-пакеты входят в её интеграции и кто отвечает за обновления, исправление критических ошибок становится медленным и рискованным.

Для SaaS, интернет-магазина и корпоративного портала полезен небольшой регулярный процесс: инвентаризация компонентов, оповещения об уязвимостях, проверяемые обновления, тестовый стенд и ответственный за выпуск патчей. Это снижает вероятность простоя и помогает избежать ситуации, когда исправление существует, но в производственной системе продолжает работать старый контейнер.

Вывод: проверьте прежде всего сервисы, которые распаковывают данные от внешних источников. Опирайтесь на официальные бюллетени и фактические версии в работающей инфраструктуре. Для проекта без собственной DevOps-команды разумно заказать аудит зависимостей и план безопасного обновления веб-приложения.