---
title: "Falha crítica no Brotli ameaça Node.js, Bun e Python"
author: "Gustavo Ramos O. Klein"
date: "2026-10-25 06:29:58.893-03"
category: "Segurança & Privacidade"
url: "http://desbugados.scale.press/portal/desbugados/post/2026/10/25/falha-critica-no-brotli-ameaca-nodejs-bun-e-python/md"
---

## Resumo
- A CVE-2026-111497 é uma falha crítica no decodificador Brotli, com pontuação CVSS 4.0 de 9.2.
- O problema permite corrupção de memória, negação de serviço e execução remota de código por um atacante não autenticado.
- Node.js, Bun, pacotes Python Brotli e brotlicffi e o Envoy aparecem entre os softwares afetados.
- O Node.js corrigiu a falha nas versões 22.23.4, 24.22.1 e 26.12.1; o Bun corrigiu na versão 1.4.4.
- A biblioteca Brotli recebeu correções nas versões 1.0.10, 1.1.1 e 1.2.1.
- Não há mitigação por configuração disponível; a orientação é atualizar os componentes vulneráveis.
- Node.js 20 e versões anteriores estão em fim de vida e não receberam correções para o problema.

---

Uma falha de severidade **crítica** no decodificador Brotli, identificada como [CVE-2026-111497](https://thehackernews.com/2026/10/brotli-decoder-flaw-behind-nodejs-rce.html), permite que um atacante remoto não autenticado corrompa a memória, provoque negação de serviço ou execute código arbitrário ao processar dados maliciosos. O problema alcança aplicações baseadas em **Node.js**, Bun e pacotes Python, além do Envoy, e transforma uma biblioteca de compressão em uma ponte de entrada para ataques recebidos pelos sistemas. A correção depende de atualização, não de ajuste de configuração.

## O defeito atravessa fronteiras

A falha recebeu pontuação [**CVSS 4.0 de 9.2**](https://db.gcve.eu/vuln/CVE-2026-111497), classificação crítica. Tecnicamente, trata-se de um **estouro de buffer**, uma escrita fora dos limites reservados de memória, na função DecodeBlockTypeAndLength(). O detalhamento atribui o problema a um valor de retorno ambíguo, na camada do decodificador que pode ser compartilhada por diferentes produtos. É essa base comum que amplia a superfície de atualização.

A cronologia explica a urgência atual. O código foi corrigido no repositório do Google em **27 de fevereiro de 2026**, mas a falha só foi tratada como risco de segurança em outubro; a divulgação dos patches ocorreu em **21 de outubro de 2026**. Até 24 de outubro, as fontes não registravam exploração em larga escala conhecida, embora uma prova de conceito pública tenha sido demonstrada no Node.js 24.22.0 em ARM64. A tarefa é localizar cópias vulneráveis, não apenas atualizar o projeto principal.

## Onde a exposição aparece

Na prática, o ponto de atenção no **Node.js** é o uso de **node:zlib** para descompactar Brotli recebido de terceiros. Nessa situação, dados controlados por outra pessoa podem alcançar o decodificador antes da lógica da aplicação. O projeto publicou as versões corrigidas **22.23.4, 24.22.1 e 26.12.1** em 21 de outubro de 2026; o Bun recebeu correção na versão 1.4.4. Para serviços afetados, a medida indicada é atualizar o runtime.

Nos pacotes Python **Brotli** e **brotlicffi**, o risco aparece quando o cliente HTTP descompacta automaticamente respostas Brotli. Esse comportamento coloca a biblioteca no caminho de dados recebidos de terceiros, mesmo quando o código da aplicação não chama diretamente o decodificador. Usuários que não conseguirem atualizar são orientados a remover esses pacotes, conforme a recomendação disponível.

O **Envoy** também é citado entre os softwares afetados, mas as informações disponíveis não apresentam uma versão corrigida específica para ele. Isso deixa uma pergunta operacional para as equipes: onde a biblioteca Brotli está embutida e quem é responsável por atualizá-la? O inventário de dependências indiretas passa a fazer parte da resposta.

## Atualização sem atalho

As versões corrigidas da biblioteca **Brotli** são **1.0.10, 1.1.1 e 1.2.1**. Para quem mantém Node.js 20 ou anterior, o alerta é direto: essas linhas estão em fim de vida e não receberam correções. A recomendação publicada é migrar para uma versão suportada, porque não existe mitigação por configuração disponível.

O próximo passo é verificar runtimes, bibliotecas e cópias incorporadas em serviços que decodificam respostas de terceiros. A falha não constava no catálogo KEV da CISA até 23 de outubro de 2026, segundo a fonte consultada, mas isso não altera a ação recomendada: aplicar as versões corrigidas e acompanhar os avisos dos fornecedores. A ponte continua aberta até que cada cópia vulnerável seja trocada.