Celah Kritis Brotli Dieksploitasi, 91 Persen Cloud Terancam

Sebuah kerentanan kritis di pustaka kompresi Brotli milik Google tengah menjadi perhatian serius komunitas keamanan siber dunia. Kerentanan dengan kode CVE-2026-111497 ini memiliki skor CVSS 9.2 dan sudah dikonfirmasi dieksploitasi di alam liar.

Brotli adalah algoritma kompresi yang banyak dipakai di web — mulai dari server, browser, hingga aplikasi. Karena Brotli dibundel ke dalam berbagai runtime, proxy, dan perangkat, dampak kerentanan ini jauh melampaui satu pustaka saja. Peneliti keamanan menjulukinya Broccoli2Shell, atau dikenal juga sebagai Node2Shell dan HTTP2Shell.

Menurut laporan Wiz, sebanyak 91 persen lingkungan cloud memiliki sumber daya yang rentan terhadap celah ini. Celah berupa out-of-bounds write di decoder Brotli memungkinkan penyerang jarak jauh merusak memori, membocorkan isi memori sensitif, menyebabkan denial of service, atau bahkan mengeksekusi kode berbahaya.

Badan keamanan siber AS, CISA, telah memasukkan kerentanan ini ke dalam katalog Known Exploited Vulnerabilities (KEV) pada 27 Oktober 2026. Instansi federal diwajibkan melakukan patch sebelum 10 November 2026. Google telah merilis perbaikan di versi 1.0.10, 1.1.1, dan 1.2.1.

Sejumlah produk populer sudah merilis tambalan, termasuk Node.js versi 22.23.4, 24.22.1, dan 26.12.1 yang dirilis 21 Oktober. Para administrator disarankan segera memperbarui semua salinan Brotli di lingkungan mereka, karena menemukan setiap salinannya adalah tantangan utama saat ini.

Kerentanan ini menjadi pengingat bahwa komponen perangkat lunak yang terlihat sepele — seperti pustaka kompresi — bisa menjadi pintu masuk serangan berskala besar ketika dipakai secara luas di seluruh ekosistem digital.