Tenable · 27 octobre 2026 · Cyber & GRC
Brotli2Shell : vulnérabilité du décodeur Google Brotli (CVE-2026-111497)
Tenable détaille CVE-2026-111497, une écriture hors limites dans le décodeur Google Brotli permettant une exécution de code à distance, avec des preuves de concept publiques. Les applications décompressant des données contrôlées par un attaquant avec un décodeur vulnérable sont potentiellement exposées. Des correctifs existent pour Google Brotli et les principaux environnements d’exécution, mais les applications embarquant leur propre copie doivent être corrigées séparément. CISA a ajouté cette vulnérabilité à son catalogue KEV le 27 octobre.
Ce qui est annoncé
Tenable publie une FAQ consacrée à Brotli2Shell, la vulnérabilité CVE-2026-111497 du décodeur Google Brotli. Le défaut décrit est une écriture hors limites dans la bibliothèque de décodage. Des chercheurs ont démontré une possibilité d’exécution de code à distance, et des preuves de concept publiques sont disponibles. L’annonce porte donc sur une vulnérabilité documentée et sur des démonstrations techniques, sans fournir, dans l’extrait présenté, de procédure de correction.
Le texte cite plusieurs logiciels utilisant ce décodeur : Node.js, .NET, Bun, Envoy Proxy, Istio, Python HTTP clients et PHP for Windows. Son historique mentionne l’ajout de CVE-2026-111497 au catalogue KEV de CISA le 27 octobre. Une mise à jour du 28 octobre signale également une section sur la fiabilité de l’exploitation, fondée sur les travaux d’ELLIO et d’Imperva, mais les conclusions de cette section ne figurent pas dans l’extrait.
Ce que ça change pour les entreprises
Pour les DSI et les équipes IT, ces informations invitent à examiner la présence du décodeur dans les environnements concernés. La diversité des logiciels cités justifie de ne pas limiter cette vérification à une seule application. Elle ne permet toutefois pas de conclure que chaque installation de ces logiciels est exploitable : l’extrait ne précise ni les versions concernées ni les conditions nécessaires à une attaque.
Les démonstrations d’exécution de code et la disponibilité de preuves de concept constituent des éléments à intégrer à la priorisation de l’analyse. Avant de décider des actions, les équipes devraient rechercher les précisions techniques et les consignes de correction absentes du texte fourni.
Comment UNEETY peut vous accompagner
Une ESN comme UNEETY peut accompagner le cadrage de cette analyse, l’identification des dépendances à examiner et la coordination des actions de sécurisation, puis aider les équipes à intégrer les mesures retenues dans leurs pratiques opérationnelles.
Découvrez notre offre Cyber & GRC ou contactez-nous.
Source : annonce Tenable du 27 octobre 2026.