Det amerikanske cybersikkerhedsagentur CISA har optaget sikkerhedshullet CVE-2026-111497 i sit katalog over kendte udnyttede sårbarheder. Fejlen er kendt som Node2Shell, men kataloget registrerer den under Google Brotli, fordi problemet ligger i det komprimeringsbibliotek, som flere produkter anvender.

Optagelsen skete den 27. oktober og skærper den aktuelle opmærksomhed på en fejl, der allerede blev rettet i Node.js knap en uge tidligere. For virksomheder er det derfor en opgave med at finde og opdatere berørte installationer, snarere end at vente på, at selve grundfejlen bliver rettet.

I CISA's officielle katalog beskrives mulige konsekvenser som nedbrud, eksponering af følsomt hukommelsesindhold og i visse tilfælde afvikling af angriberens kode. Kataloget angiver den 10. november som afhjælpningsfrist i den relevante amerikanske myndighedsramme. Datoen er ikke dermed en generel dansk lovfrist.

Data skal pakkes ud, før fejlen bliver relevant

Brotli bruges til at gøre data mindre under overførsel. Når en modtager pakker indholdet ud igen, skal programmet kontrollere, at datastrømmen er gyldig. Det er i denne afkodning, sårbarheden findes.

Node.js-projektets sikkerhedsmeddelelse forklarer, at en ugyldig ændring i datastrømmens blokstruktur blev behandlet som et midlertidigt behov for mere input. Afkoderen fortsatte derfor med at skrive til en intern buffer ud over dens grænse. Resultatet kan være beskadigelse af processens hukommelse.

Det er en væsentlig betingelse, at applikationen får angriberkontrollerede Brotli-data ind i den sårbare afkoder. At have Node.js installeret er ikke i sig selv en beskrivelse af en konkret angrebsvej. Man skal også se på, hvordan programmet og dets biblioteker håndterer data.

Node.js vurderer fejlen som høj alvorlighed. Projektets meddelelse omfatter de understøttede grene 22.x, 24.x og 26.x og henviser til sikkerhedsudgaverne 22.23.4, 24.22.1 og 26.12.1. Udgaverne blev offentliggjort den 21. oktober.

Angrebsfladen kan ligge i begge retninger

I sin tekniske gennemgang af Node2Shell fremhæver Akamai flere veje til afkoderen. En applikation kan selv pakke data ud, men komprimerede svar kan også blive behandlet gennem den indbyggede fetch-funktion. På serversiden kan parsere i Express 5 og body-parser 2 håndtere komprimerede forespørgsler.

Det betyder, at undersøgelsen ikke kun bør handle om trafik ind til en offentlig webserver. En tjeneste, der henter data fra en ekstern server, kan også have en relevant kodevej. Akamai understreger samtidig, at en enkel Node.js-HTTP-server ikke automatisk afkoder indgående Brotli-indhold uden hjælp fra applikationen.

Den sondring gør en forskel ved midlertidige tiltag. En ændring, som afviser en bestemt type indgående forespørgsel, siger ikke nødvendigvis noget om, hvad tjenesten selv modtager fra andre systemer.

Find komponenten bag produktnavnet

Googles udgivelsesnote til Brotli 1.2.1 angiver rettelsen til CVE-2026-111497 direkte. Den viser samtidig, hvorfor navnet Node2Shell kan blive for snævert i en virksomheds oversigt: biblioteket og den applikation, der bruger det, er forskellige lag.

En intern oversigt kan for eksempel registrere en kundeserviceplatform eller en integrationsserver under leverandørens produktnavn. Det er ikke sikkert, at navnet afslører, hvilke komprimeringsbiblioteker der indgår. Leverandørens sikkerhedsmeddelelse er derfor vigtig for at afgøre, hvilken produktopdatering der faktisk skal installeres.

For egenudviklet software kan samme spørgsmål opstå flere steder. Udviklingsmiljøet, en testinstallation og en tjeneste i drift kan anvende forskellige udgaver. En opdatering ét sted dokumenterer ikke, at alle de øvrige miljøer er dækket. Det er en praktisk konsekvens af, at rettelsen skal nå frem til den kode, der faktisk kører.

Bekræftet udnyttelse er ikke et mål for alle angreb

Optagelsen i CISA-kataloget er et vigtigt signal til prioriteringen. Den offentliggjorte post oplyser imidlertid ikke et antal kompromitterede organisationer eller en samlet succesrate for angreb. Den markerer desuden brug i ransomwarekampagner som ukendt. Det ville derfor være forkert at omsætte posten til en påstand om en dokumenteret, omfattende ransomwarebølge.

Den konkrete handling for en berørt organisation er at følge producentens afhjælpning for det anvendte produkt og kontrollere, at den rettede version er i drift. En generel versionsliste kan hjælpe med at stille de rigtige spørgsmål, men erstatter ikke leverandørens oplysninger om den konkrete installation.

Nyheden er således både en advarsel om aktuel udnyttelse og en påmindelse om softwareforsyningskæden: et problem i en fælles komponent kan kræve opdateringer flere steder, også når komponentens navn ikke står på forsiden af det system, virksomheden bruger.