Falha crítica HTTP2Shell permite execução remota de código em servidores

Uma falha crítica no sistema de compressão de dados Brotli, desenvolvido pelo Google e amplamente utilizado na internet, está gerando atualizações de segurança para evitar ataques que comprometem servidores e aplicações. A vulnerabilidade, conhecida como HTTP2Shell, foi identificada com o código CVE-2026-111497 e também é referida como Node2Shell e Broccoli2Shell.

A falha, classificada com gravidade 9,2 em escala de dez, pode provocar corrupção de memória, vazamento de informações e interrupção de serviços. Em condições específicas, permite que um invasor execute código remoto em sistemas vulneráveis, possibilitando comandos controlados pelo atacante.

Entre os softwares impactados estão versões antigas de Node.js, aplicações .NET e pacotes de Python que utilizam decodificadores Brotli vulneráveis. Empresas e projetos já distribuem correções, mas até o momento não há evidências de exploração em ataques maliciosos reais. A falha ocorre quando um decodificador malformado processa sequências específicas, causando buffer overflow e corrupção de memória.