A Cloudflare publicou em 25 de outubro uma atualização emergencial do seu conjunto de regras de WAF para conter a exploração da CVE-2026-111497, uma escrita fora dos limites no decodificador da biblioteca Brotli que permite execução remota de código. A cobertura especializada chama a falha de HTTP2Shell.
O defeito está na decodificação em fluxo. Segundo o aviso do Node.js, uma troca de bloco inválida era tratada como necessidade temporária de mais dados em vez de erro de formato, e o decodificador seguia acrescentando bytes a um buffer interno de oito bytes. Quem reportou foi a equipe de segurança do OpenAI Codex.
Para explorar basta que a aplicação descomprima dado Brotli fornecido pelo atacante, sem autenticação e sem interação do usuário. No Node.js o caminho é o módulo zlib. No .NET a Microsoft aponta a descompressão de requisição no ASP.NET Core, a descompressão automática no HttpClient e as APIs Brotli do System.IO.Compression.
O Brotli é padrão de compressão da web desde 2015 e vem embarcado nas runtimes. Um defeito no decodificador roda antes de qualquer lógica da aplicação, sobre bytes que vêm de fora, o que transforma uma requisição comum em vetor de corrupção de memória.
As duas regras novas entram habilitadas em modo de registro, apenas observando. Uma casa com requisições que declaram corpo comprimido em Brotli, a outra com chamadas ao otimizador de imagens do Next.js. A Cloudflare avisa que ambas também casam com tráfego legítimo e que override configurado para bloquear pode barrar requisições na implantação.
A correção saiu primeiro na origem. O projeto Brotli publicou em 21 de outubro as versões 1.2.1, 1.1.1 e 1.0.10. No mesmo dia o Node.js liberou 22.23.4, 24.22.1 e 26.12.1. A Microsoft atualizou fora de ciclo em 25 de outubro, com .NET 8.0.33, 9.0.22, 10.0.14 e 11 RC3. O PHP liberou builds de Windows em 26 de outubro, nas versões 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1.
A ação prioritária é atualizar a runtime e republicar o que for autocontido, porque aplicação autocontida e contêiner não se corrigem pela atualização do runtime da máquina. Quem usa Cloudflare deve revisar os overrides antes de mudar as regras para bloqueio, já que bloquear a regra do Next.js pode impedir o carregamento de imagens otimizadas.
