# Экстренное консультирование по вопросам безопасности Broccoli2Shell, загруженное через Brotli Decoders, PHP Runtimes и Linux Systems

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/ru/article/nodejs-23-released-experimental-typescript-strip-types-require-2026-10-27-nig-ru
Section: Software (https://technewslist.com/ru/software)
Author: TechNewsList
Language: ru
Published: 2026-10-27T18:14:58.622+00:00
Updated: 2026-10-27T19:49:45.694168+00:00

> Критическая уязвимость в библиотеке Brotli, получившая название Broccoli2Shell (CVE-2026-111497), вызвала экстренные патчи безопасности в PHP и Linux.

## TL;DR
- Разработчики выпустили экстренные патчи для CVE-2026-111497 в библиотеке декодера C Brotli.
- Поврежденный Broccoli2Shell, критический недостаток имеет значение CVSS в 9,2 из-за возможного произвольного перезаписи рисков.
- Синхронизированные запчасти были запущены через PHP, .NET framework, и вверх по течению распределительных хранилищ Linux.
- Администраторы систем и хостингу облаков были даны указания о проведении ревизии зависимостей и немедленном развертывании обновленных данных.

## Key points
- Уязвимость возникает в ходе проверки границ словаря в ходе операций по декомпрессии с использованием многопотокового кольца-буффера.
- Нападающие могут создавать неправильные реакционные потоки сжатого HTTP, предназначенные для обработки пробелов памяти.
- Широкий веб-сервер обратный прокси и языковые декодаторы объединяют уязвимый источник декомпрессии C.
- В рамках экстренных восстановительных мероприятий приоритетное внимание уделялось экспозиторам, расположенным в Интернете, сетям доставки контента и прикладным порталам.
- Исследователи по вопросам безопасности подтвердили, что использование недостатков памяти в производственной среде требует особых условий компоновки кучи.

## Что произошло

Операторы по обеспечению безопасности с открытыми исходными кодами, команды по разработке рабочего времени и основные дистрибьюторы Linux выпустили скоординированные рекомендации по обеспечению безопасности в чрезвычайных ситуациях для устранения критической уязвимости, обнаруженной в официальном справочном документе C по созданию библиотеки сжатия Brotli. В каталоге CVE-2026-111497 и названном Broccoli2Shell исследователями кибербезопасности, этот недостаток имеет критический рейтинг общей системы измерения уязвимости в 9,2 из 10.

Уязвимость находится в основе логики декомпрессии основного потока декодулятора Brotli, алгоритмического стандарта, который повсеместно применяется в современных веб-браузерах, сетях передачи контента, сетевых вратах приложения и в режиме работы программирования на броском языке. В случае, если этот пробел не отпечатан, он позволяет неподтверждённым дистанционным нападателям вызвать неподтвержденную кучу ошибок в памяти, доставляя специально смонтированную компримированную полезную нагрузку для данных.

В ответ на разглашение информации об уязвимости в архивах GitHub, PHP Foundation, Microsoft .NET инженерная команда и пакетные хранилища для крупного предприятия Linux, включая Ubuntu, Debian, Red Hat Enterprise Linux и Alpine.

## Почему это важно

Компрессия Brotli является одним из основополагающих протоколов, позволяющих использовать современные сетевые характеристики. Инженерные для достижения более высоких коэффициентов сжатия по сравнению с старыми алгоритмами gzip, Brotli активированы практически на каждом высокообъемном веб-сервере, обратном прокси и конечных точках API во всем мире для сведения к минимуму запоздалости транзита и накладных частот.

Поскольку база кодов декодера C встроена непосредственно в базовые языки программирования, веб-серверы и библиотеки клиентов, критическая уязвимость в основных декомпрессионных рутинах представляет собой обширную атаки-поверхностную поверхность. Веб-приложения, которые приносят и декомпрессируют неподтвержденное внешнее содержание, такие, как веб-скауты, прыжковые тайники и агрегаты API, непосредственно подвержены потенциальной дистанционной эксплуатации.

![Server-side language development environment representing runtime web applications deploying emergency security patches](https://upload.wikimedia.org/wikipedia/commons/c/c8/Custom-software-developement-php-net.JPG)
*Server-side language development environment representing runtime web applications deploying emergency security patches.*

Агентства по контролю за кибербезопасностью, включая Агентство кибербезопасности и безопасности инфраструктуры США, настоятельно призвали администраторов информационных систем предприятий и поставщиков облачных систем незамедлительно применять обновленные данные о безопасности, с тем чтобы предотвратить попытки автоматизированной эксплуатации уязвимых передовых систем.

## Технические детали

Техническая коренная причина CVE-2026-111497 связана с целыми расхождениями во внутренней системе обновления словаря кольца-буфера. Когда процесс декодера Brotli измельчает потоки сжатия, содержащие неправильные ссылки на заднее расстояние и неправильные коды по длине блока, утверждения о том, что проверка границ не может должным образом ограничить выпадения указателей.

Этот логический сбой позволяет петле декомпрессии перезаписать прилежащие блоки памяти на кучу за пределами выделенного словаря. При конкретной конфигурации макета памяти, атакующий может использовать эту память перезаписать примитивную для угона указателей и достижения произвольной реализации кода в контексте веб-процесса хоста.

![Linux operating system terminal console utilized by system administrators to deploy package manager security remediation](https://upload.wikimedia.org/wikipedia/commons/2/29/Linux_command-line._Bash._GNOME_Terminal._screenshot.png)
*Linux operating system terminal console utilized by system administrators to deploy package manager security remediation.*

В соответствии с обязательством по восстановлению вводятся строгие всесторонние ограничения в отношении проверки границ и жесткой длины буфера, что обеспечивает, чтобы неправильно оформленные заголовки потока вызывали немедленное погрешность декомпрессии, а не перерасход памяти. " Пакеты вниз по течению " , включая обновление " PHP " и " Linux Countries " , немедленно включали исправленные источники декодера.

## Влияние на рынок и отрасль

Разглашение информации о Broccoli2Shell свидетельствует о существующих системных рисках, присущих глобальной цифровой инфраструктуре, опирающейся на общие, глубоко укоренившиеся справочные библиотеки с открытыми исходными кодами.

Поставщики облачной инфраструктуры и гипершокеры действовали быстро, внедряя автоматизированные виртуальные правила запятой через брандмауэры для ретроспективных прикладных программ, чтобы обнаружить и сбросить неправильные заголовки компрессии Brotli до того, как они доберутся до серверов арендаторов.

Ожидается, что этот инцидент приведет к возобновлению отраслевой дискуссии по вопросам безопасности памяти в веб-инфраструктуре. < < Руководители технологий > > и пропагандистские группы по вопросам безопасности все чаще призывают сообщество с открытыми исходными кодами ускорить перевод основных декомпрессионных и криптографических коммунальных служб с старых кодовых баз C на такие языки, как < < Раст > > .

## За чем следить дальше

В течение нескольких дней после скоординированного раскрытия информации разведывательные фирмы, занимающиеся вопросами кибербезопасности, будут отслеживать телеметрию глобальных угроз на предмет обнаружения признаков автоматизированного вепонизации или доказательства концептуального использования сценариев, ориентированных на неотправленные веб-серверы. < < Общеорганизационные организации > > должны продолжать проверку своих внутренних цепочек поставок программного обеспечения с целью выявления встроенных зависимостей, связующих устаревшие библиотеки Brotli.

Наблюдатели будут также следить за тем, вводят ли основные пакеты веб-серверов автоматизированные испытания на фужирование и формальную проверку в своих трубопроводах для обнаружения аналогичных логичных недостатков до выпуска продукции.

## Источники

- [GitHub Brotli Security Advisory](https://github.com/google/brotli/security/advisories/2026/10/26/GHSA-brotli-oob) - Официальное раскрытие информации об уязвимости вверх по течению с подробным описанием изъяна в памяти, связанного с коррупцией, и корректировочный патч.
- [The Hacker News Cybersecurity Coverage](https://thehackernews.com/2026/10/26/broccoli2shell-cve-2026-111497-critical-flaw/) - Расследования в области кибербезопасности, анализ эксплуатации механики, рейтинги строгости CVSS 9.2 и затронутые серверные платформы.
- [BleepingComputer Technical Report](https://www.bleepingcomputer.com/news/security/2026/10/26/critical-brotli-vulnerability-triggers-emergency-patches/) - Техническая разбивка аварийных релизов по каналам безопасности распространения PHP, .NET, Ruby и вверх по течению Linux.

Mentions: Linux Foundation, Brotli, PHP Foundation, CISA

## Sources
- [GitHub Brotli Security Advisory](https://github.com/google/brotli/security/advisories/2026/10/26/GHSA-brotli-oob)
- [The Hacker News Cybersecurity Coverage](https://thehackernews.com/2026/10/26/broccoli2shell-cve-2026-111497-critical-flaw/)
- [BleepingComputer Technical Report](https://www.bleepingcomputer.com/news/security/2026/10/26/critical-brotli-vulnerability-triggers-emergency-patches/)