Microsoft-Sicherheitshinweis: Schreibzugriff außerhalb des gültigen Speicherbereichs im Brotli-Decoder von Google ermöglicht Remotecodeausführung (CVE-2026-111497)

Was passiert ist

Ein Schreibzugriff außerhalb des gültigen Speicherbereichs im Brotli-Decoder kann durch einen eigens präparierten Brotli-komprimierten Datenstrom ausgelöst werden. Da der anfällige Pfad über das Netzwerk ohne Anmeldedaten und ohne Benutzerinteraktion erreichbar ist, kann ein Angreifer, der komprimierte Daten an einen Dienst übermitteln kann, der diese dekodiert, angrenzende Zustandsdaten des Decoders beschädigen, vertrauliche Speicherinhalte offenlegen, einen Denial-of-Service verursachen oder potenziell beliebigen Code ausführen.

Die CISA hat CVE-2026-111497 am 27. Oktober 2026 in den Katalog Known Exploited Vulnerabilities (KEV) aufgenommen; als Frist gilt der 10. November 2026. Die SSVC-Bewertung der CISA stuft die Ausnutzung als aktiv ein, und ENISA EUVD verzeichnet die Ausnutzung seit dem 27. Oktober 2026. Der CVSS-4.0-Wert beträgt 9,2 (kritisch).

Wer betroffen ist

Betroffen sind die Bibliotheksversionen Brotli 1.0.3 bis vor 1.0.10, Brotli 1.1.0 bis vor 1.1.1 und Brotli 1.2.0 bis vor 1.2.1. Der Microsoft-Sicherheitshinweis weist darauf hin, dass die Schwachstelle Node.js 26.x, 24.x und 22.x betrifft. Die anfällige Komponente ist der Brotli-Decoder; eine Gefährdung besteht daher überall dort, wo eine betroffene Brotli-Bibliothek oder ein betroffenes Binärprogramm von einem Angreifer beeinflusste komprimierte Daten verarbeitet.

Was jetzt zu tun ist

1. Aktualisieren Sie die Brotli-Bibliothek auf eine korrigierte Version: 1.0.10, 1.1.1 oder 1.2.1 – je nach eingesetztem Versionszweig.
2. Spielen Sie das im Sicherheitshinweis genannte relevante Produktupdate ein. Zu den im Hinweis aufgeführten korrigierten Builds gehören: 1.2.1-1, 8.0.427 – KB5133964, 9.0.320 – KB5133965, 10.0.403 – KB5133966, 11.0.100-rc.3.26522.148, 16.11.61, 17.14.43, 18.11.2, 18.12 Insiders 3, 7.6.9, 7.5.13, 7.4.22, 24.22.1-1, Prisma Cloud - Application Security Transporter Client >= 0.2.9, PAN-OS >= 12.2.4-h1, PAN-OS 11.1 >= 12.1.7-h11, PAN-OS 10.2 >= 11.2.7-h23, PAN-OS 10.2 >= 11.2.10-h17, PAN-OS 10.2 >= 11.2.13-h4 und PAN-OS 10.2 >= 11.2.16-h1.
3. Für betroffene Node.js-Bereitstellungen konsultieren Sie die Node.js-Sicherheitsreleases vom Oktober 2026.
4. Der Microsoft-Sicherheitshinweis nennt keine Problemumgehungen; das Einspielen der Sicherheitsupdates ist daher die wichtigste Sicherheitsmaßnahme. Die Frist im CISA-KEV-Katalog ist der 10. November 2026. Überprüfen Sie vor dem Einspielen der Sicherheitsupdates die Erreichbarkeit aus dem Internet und beschränken Sie den Zugriff auf betroffene Dienste, soweit dies möglich ist.

Wie man es erkennt

Im Microsoft-Sicherheitshinweis sind keine Kompromittierungsindikatoren aufgeführt. Überwachen Sie Dienste, die Brotli-komprimierte Eingaben dekodieren, auf Abstürze, Decoder-Fehler oder ungewöhnliche Speicherauslastung. Ist ein solcher Dienst aus dem Internet erreichbar, behandeln Sie ihn als exponiert und priorisieren Sie das Einspielen der Sicherheitsupdates oder eine Zugriffsbeschränkung.

Über den Patch hinaus

Da der CISA-KEV-Katalog und ENISA eine aktive Ausnutzung verzeichnen, geht es hier um Erkennung und Reaktion und nicht allein um das Einspielen von Sicherheitsupdates. Unsere Angebote Managed Detection and Response und Incident Response Retainer decken genau das ab. Ist der Brotli-Decoder in einem aus dem Internet erreichbaren Dienst im Einsatz, kann eine Überprüfung im Rahmen von Virtual CISO Services die Angriffsfläche sichtbar machen.