高危漏洞“BrotliHTTP2Shell”遭在野利用，CISA列入已知被利用漏洞目录

高危漏洞“Brotli/HTTP2Shell”遭在野利用，CISA列入已知被利用漏洞目录

谷歌开发的压缩库 Brotli 中被发现一个编号为 CVE-2026-111497 的严重安全漏洞，CVSS评分高达9.2，属于极危级别。美国网络安全和基础设施安全局（CISA）已将该漏洞列入“已知被利用漏洞”目录，表明攻击者已在真实网络环境中积极利用该漏洞发起攻击。

该漏洞的突出风险在于其影响范围的广泛性与隐蔽性。Brotli 不仅存在于操作系统层面，更被内置于 Node.js、.NET 等主流运行环境之中。这意味着，仅对操作系统进行补丁更新，并不足以彻底消除风险——大量应用程序因自带 Brotli 库而成为潜在的暴露面。研究人员已在 Node.js 环境中证实了利用该漏洞实现任意代码执行的可能性，攻击者一旦得手，可在目标系统上执行恶意指令，危害程度极高。

安全研究人员已观测到真实网络环境中的攻击尝试。鉴于该漏洞的利用门槛较低且影响面广，CISA将其纳入“已知被利用漏洞”目录，意味着联邦机构需在限期内完成修复，同时也为私营部门的安全团队敲响了警钟。

针对该漏洞，用户需采取多层级修复措施：除更新操作系统外，还应手动将 Node.js、PHP、.NET 等相关软件更新至最新修复版本（如 Node.js v24.22.1 或更高），并在更新完成后重启相关服务以确保补丁生效。安全专家建议，企业应优先排查对外暴露的 Node.js 及 .NET 服务，评估其 Brotli 依赖版本，并尽快完成升级，以降低被在野攻击利用的风险。

本文来源：国家网信办，阿里研究院

主笔专家：马旭‌

责任编辑：编辑部-方一诺

最后更新时间：2026年11月02日