Brotli e HTTP2Shell: proteção e atualização das aplicações

Segurança

04 Novembro, 2026

Correções verificadas pela Delta e orientações para atualizar aplicações Node.js, Python e componentes Brotli.

A Delta realizou verificações e aplicou correções para a vulnerabilidade CVE-2026-111497 nos componentes identificados durante a análise. A proteção das aplicações exige também a revisão de bibliotecas e ambientes mantidos por cada cliente.

Diagrama ilustrativo: correções da infraestrutura e atualização das aplicações são etapas complementares

Diagrama ilustrativo das responsabilidades de atualização da infraestrutura e das aplicações.

O que é a falha do Brotli

Brotli é uma tecnologia de compressão utilizada por diversos programas. A falha está no decodificador que processa dados comprimidos e pode causar corrupção de memória quando uma aplicação descomprime conteúdo malformado controlado por um atacante. O impacto pode incluir interrupção do processo, exposição de memória e execução de código, conforme o ambiente.

Conhecida também como HTTP2Shell ou Node2Shell, a vulnerabilidade não é uma falha do núcleo do WordPress nem uma falha do protocolo HTTP/2. A atualização do WordPress, isoladamente, não comprova que o decodificador utilizado pela aplicação foi corrigido.

Medidas adotadas pela Delta

Foram conferidos pacotes do sistema, correções registradas pelos fornecedores, instalações de Node.js, ambientes Python e bibliotecas carregadas por processos. As pendências confirmadas e tratadas receberam atualização, substituição dos processos antigos quando necessária e verificações operacionais após a intervenção.

Os componentes cuja correção foi confirmada contam com proteção contra essa vulnerabilidade específica. Essa confirmação não se estende automaticamente a toda biblioteca incorporada em aplicações, ambientes virtuais, containers ou instalações particulares. Componentes legados sem comprovação de correção continuam exigindo avaliação e migração compatível.

O que clientes de hospedagem devem fazer

Identifique se o projeto utiliza Node.js, Python ou outro componente que descomprima Brotli. Informe ao desenvolvedor qual é o ambiente efetivamente usado em produção.
Faça backup e teste a atualização em ambiente de homologação. Revise a versão do runtime e as dependências do projeto; atualizar apenas pacotes JavaScript não substitui a atualização do Node.js quando o decodificador está embutido nele.
No painel que oferece seleção de versões, utilize uma versão suportada e com a correção confirmada pelo fornecedor. Evite trocar a versão principal sem verificar compatibilidade.
Reinicie a aplicação pelo gerenciador correspondente e valide páginas, autenticação, tarefas e integrações. Confirme a versão no processo que voltou a atender as requisições.

Como verificar aplicações Node.js

Execute os comandos no mesmo ambiente e com o mesmo executável utilizados pela aplicação:

node --version
node -p "process.versions.brotli"

O projeto Node.js publicou correções nas versões 22.23.4, 24.22.1 e 26.12.1. Use uma versão corrigida mais recente da sua linha suportada. Pacotes de distribuições podem receber correções por backport mantendo números antigos; nesse caso, a confirmação deve vir do pacote e do aviso do fornecedor, não apenas da versão exibida de Brotli.

Como verificar aplicações Python

Ative o ambiente virtual usado pelo projeto antes da consulta:

python -m pip show Brotli brotlicffi

Se o projeto utiliza o pacote Brotli afetado, teste a atualização para 1.2.1 ou posterior compatível. Atualize também o arquivo de dependências do projeto, para que uma nova implantação não reinstale a versão antiga. Para brotlicffi, siga o aviso específico do projeto e confirme a versão corrigida; a numeração não é a mesma do pacote Brotli.

python -m pip install --upgrade "Brotli>=1.2.1"

Use esse comando somente no ambiente da aplicação, após verificar as restrições de dependências. Não atualize o Python do sistema por meio do pip. Reinicie os processos da aplicação e execute seus testes após a alteração.

Clientes de VPS e servidores com administração própria

Além das dependências do projeto, verifique os pacotes do sistema, imagens de containers, bibliotecas incorporadas e processos que ainda utilizem arquivos antigos. Instalar um pacote corrigido não garante que todos os serviços passaram a utilizá-lo. Reconstrua imagens afetadas e substitua os containers correspondentes após os testes.

Se houver dúvida, encaminhe ao suporte a versão do runtime, o tipo de aplicação e o ambiente utilizado. Não envie senhas, tokens ou chaves privadas para solicitar essa análise.