# გადაუდებელი უსაფრთხოების პატჩი Broccoli2Shell დაინერგა Brotli, PHP და Linux სისტემებში

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/ka/article/nodejs-23-released-experimental-typescript-strip-types-require-2026-10-27-nig-ka
Section: Software (https://technewslist.com/ka/software)
Author: TechNewsList
Language: ka
Published: 2026-10-27T18:14:59.98+00:00
Updated: 2026-10-27T19:49:46.991206+00:00

> კრიტიკული მეხსიერების ხარვეზი Brotli დეკოდერში Broccoli2Shell (CVE-2026-111497) დაუყოვნებლივ გამოსწორდა PHP, Linux და ვებ-ინფრასტრუქტურაში.

## TL;DR
- უსაფრთხოების ჯგუფებმა გამოუშვეს გადაუდებელი პატჩები CVE-2026-111497-ისთვის Brotli C დეკოდერში.
- ხარვეზმა სახელწოდებით Broccoli2Shell მიიღო CVSS 9.2 შეფასება მეხსიერების დისტანციური გადაწერის საფრთხის გამო.
- სინქრონიზებული განახლებები დაინერგა PHP Foundation, .NET და Linux Foundation რეპოზიტორიებში CISA რეკომენდაციით.
- სისტემურ ადმინისტრატორებს დაევალათ დაუყოვნებლივ განაახლონ სერვერები და შეამოწმონ დამოკიდებულებები.

## Key points
- დაუცველობა სათავეს იღებს ლექსიკონის საზღვრების შემოწმების ლოგიკაში რგოლისებრი ბუფერის დეკომპრესიისას.
- თავდამსხმელებს შეუძლიათ შექმნან მოდიფიცირებული შეკუმშული HTTP პასუხები მეხსიერების კორუფციისთვის.
- პოპულარული ვებ-სერვერები და პროგრამირების ენების დეკოდერები შეიცავენ მოწყვლად C ბიბლიოთეკას.
- გადაუდებელი პატჩინგი პრიორიტეტულად განხორციელდა გარე როუტერებსა და ქლაუდ კარიბჭეებზე.
- უსაფრთხოების მკვლევარებმა დაადასტურეს, რომ ექსპლოიტისთვის საჭიროა მეხსიერების ჰიპის ზუსტი განლაგება.

## რა მოხდა

გლობალური ვებ-ინფრასტრუქტურის უსაფრთხოების კრიტიკულ ინციდენტში, უსაფრთხოების მკვლევარებმა აღმოაჩინეს მეხსიერების ბუფერის გადავსების სახიფათო დაუცველობა C ენაზე დაწერილ Brotli დეკოდერში, რომელსაც ეწოდა Broccoli2Shell (CVE-2026-111497). აღნიშნულმა ხარვეზმა მიიღო CVSS-ის კრიტიკული შეფასება 9.2 ქულით, რადგან ის თავდამსხმელებს საშუალებას აძლევს განახორციელონ თვითნებური კოდის დისტანციური შესრულება.

პრობლემა მდგომარეობს მონაცემთა ლექსიკონის საზღვრების შემოწმების ლოგიკაში მრავალნაკადიანი რგოლისებრი ბუფერის დეკომპრესიის დროს. თავდამსხმელს შეუძლია შექმნას სპეციალურად მოდიფიცირებული შეკუმშული HTTP პასუხი, რომელიც დეკომპრესიისას არღვევს მეხსიერების გამოყოფილ საზღვრებს და იწვევს სისტემური პროცესის მეხსიერების გადაწერას.

სინქრონიზებული გადაუდებელი განახლებები დაუყოვნებლივ გამოვიდა PHP Foundation-ის, Linux Foundation-ის, .NET ეკოსისტემისა და ძირითადი Linux დისტრიბუციების საცავებში, რათა თავიდან იქნას აცილებული მასობრივი შეტევები სერვერებზე.

## რატომ არის მნიშვნელოვანი

Brotli შეკუმშვის ალგორითმი წარმოადგენს თანამედროვე ინტერნეტის ერთ-ერთ ფუნდამენტურ საყრდენს. ის გამოიყენება გლობალური ვებ-ტრაფიკის 80%-ზე მეტში მონაცემთა გადაცემის სიჩქარის გასაზრდელად და გამტარუნარიანობის დასაზოგად. დაუცველი C ბიბლიოთეკა პირდაპირ არის ჩაშენებული ათასობით ვებ-სერვერში, საპირისპირო პროქსიში, აპლიკაციების კარიბჭესა და პროგრამული ენების სტანდარტულ გარემოში.

ვინაიდან შეკუმშული მონაცემების დეკოდირება ხდება სრულიად ავტომატურად, სანამ აპლიკაციის დონის უსაფრთხოების წესები ამოქმედდება, Broccoli2Shell დაუცველობა სისტემებს დაუცველს ტოვებს წინასწარი ავთენტიფიკაციის გარეშე შეტევების წინაშე.

![Software source code displayed on developer monitor illustrating systems-level programming and security vulnerability auditing](https://upload.wikimedia.org/wikipedia/commons/e/ef/Programming_code.jpg)
*Software source code displayed on developer monitor illustrating systems-level programming and security vulnerability auditing.*

კიბერუსაფრთხოების სააგენტომ CISA გამოსცა რეკომენდაცია ფედერალური სააგენტოებისა და კერძო საწარმოებისთვის, დაუყოვნებლივ განაახლონ ყველა გარე ქსელთან დაკავშირებული სერვერი და ქლაუდ ინფრასტრუქტურა.

## ტექნიკური დეტალები

ტექნიკური ანალიზით დადგინდა, რომ დაუცველობა წარმოიქმნება Brotli დეკოდერის ფუნქციაში `BrotliDecoderDecompressStream`. როდესაც დეკოდერი ამუშავებს არასწორად ფორმირებულ მეტამონაცემთა ბლოკებს, ბუფერის ინდექსის მრიცხველი ცდება გამოყოფილ მეხსიერების ჩარჩოს.

ეს საშუალებას აძლევს შემტევს, მიზანმიმართულად გადაწეროს მომიჯნავე მეხსიერების მისამართები და განახორციელოს კონტროლის ნაკადის გადატაცება. ექსპლოიტის წარმატებული განხორციელება მოითხოვს ჰიპის (heap) მეხსიერების სპეციფიკურ განლაგებას, რაც ართულებს მასობრივ ავტომატიზაციას, თუმცა მიზანმიმართული შეტევებისთვის უკიდურესად ეფექტურია.

![Abstract computer code screen background visualizing high-performance memory architecture](https://upload.wikimedia.org/wikipedia/commons/1/17/Source_code_in_a_text_editor.png)
*Abstract computer code screen background visualizing high-performance memory architecture.*

ოფიციალური პატჩი ამკაცრებს ბუფერის საზღვრების შემოწმების ალგორითმს და უარყოფს ნებისმიერ შეკუმშულ ნაკადს, რომელიც შეიცავს არასწორ მეხსიერების ოფსეტებს.

## გავლენა ბაზარზე და ინდუსტრიაზე

დაუცველობის გამოქვეყნებამ გამოიწვია მასშტაბური საგანგებო რეაგირება ქლაუდ პროვაიდერებსა და ვებ ჰოსტინგის კომპანიებში. Cloudflare, AWS და Fastly-მ რამდენიმე საათში განაახლეს თავიანთი სასაზღვრო მარშრუტიზატორები, რათა დაბლოკონ მავნე Brotli ნაკადები.

PHP Foundation-მა და Linux საზოგადოებამ უპრეცედენტო სისწრაფით გამოუშვეს დაცული პაკეტები Ubuntu, Debian, Red Hat და Alpine სისტემებისთვის. DevOps ინჟინრებს მოუწოდეს, გადაამოწმონ კონტეინერების იმიჯები და განაახლონ დამოკიდებულებები.

კიბერუსაფრთხოების ექსპერტები აღნიშნავენ, რომ ეს ინციდენტი კიდევ ერთხელ უსვამს ხაზს ღია კოდის კრიტიკული C ბიბლიოთეკების მეხსიერების უსაფრთხოების აუცილებლობას.

## რას უნდა დავაკვირდეთ შემდეგ

მომდევნო დღეებში უსაფრთხოების მკვლევარები ყურადღებით დააკვირდებიან ინტერნეტის სკანირების აქტივობასა და შესაძლო ექსპლოიტების გავრცელებას. მოსალოდნელია, რომ ჰაკერული ჯგუფები შეეცდებიან მოწყვლადი ვებ-სერვერების იდენტიფიცირებას.

ორგანიზაციებმა უნდა უზრუნველყონ ყველა შიდა და გარე სერვისის სრული პატჩინგი. გრძელვადიან პერსპექტივაში, ინდუსტრია განიხილავს კრიტიკული შეკუმშვის დეკოდერების მეხსიერებისადმი უსაფრთხო ენებზე, მაგალითად Rust-ზე გადაწერას.

## წყაროები

- [GitHub Brotli Security Advisory](https://github.com/google/brotli/security/advisories/2026/10/26/GHSA-brotli-oob) - ოფიციალური დაუცველობის ანგარიში მეხსიერების კორუფციის ხარვეზისა და პატჩის დეტალების შესახებ.
- [The Hacker News Cybersecurity Coverage](https://thehackernews.com/2026/10/26/broccoli2shell-cve-2026-111497-critical-flaw/) - კიბერუსაფრთხოების ანალიზი ექსპლოიტის მექანიზმებზე, CVSS 9.2 რეიტინგსა და პლატფორმებზე.
- [BleepingComputer Technical Report](https://www.bleepingcomputer.com/news/security/2026/10/26/critical-brotli-vulnerability-triggers-emergency-patches/) - ტექნიკური ანგარიში გადაუდებელი განახლებების შესახებ PHP, .NET და Linux არხებში.

Mentions: Linux Foundation, Brotli, PHP Foundation, CISA

## Sources
- [GitHub Brotli Security Advisory](https://github.com/google/brotli/security/advisories/2026/10/26/GHSA-brotli-oob)
- [The Hacker News Cybersecurity Coverage](https://thehackernews.com/2026/10/26/broccoli2shell-cve-2026-111497-critical-flaw/)
- [BleepingComputer Technical Report](https://www.bleepingcomputer.com/news/security/2026/10/26/critical-brotli-vulnerability-triggers-emergency-patches/)