פגיעות ב-Google Brotli משאירה 90% מסביבות הענן חשופות, כך מוצאת Wiz
Wiz אומרת ש-91% מסביבות הענן מכילות משאבים פגיעים לפגיעות ב-Google Brotli, המשפיעה על Node.js, Microsoft .NET, Mozilla Firefox, Thunderbird ומערכות Linux. תיקונים נפרסים, אך Ubuntu ו-SUSE עדיין חסרות פתרון.
פגיעות ב-Brotli של Google חשפה 90% מהענן, לפי Wiz, שמצאה ש-91% מסביבות הענן מכילות משאבים פגיעים ל-CVE-2026-111497. הבעיה החלה ב-Node.js אך כעת משפיעה על Microsoft .NET, Mozilla Firefox ו-Thunderbird, ועל כמה מערכות Linux, והתיקונים נמשכים.
מה Wiz מצאה
Wiz מצאה ש-91% מסביבות הענן מכילות משאבים פגיעים, ול-82% יש מערכות Node.js חשופות ישירות לאינטרנט. Netflix, PayPal, Walmart, LinkedIn, Uber ו-NASA מסתמכות על Node.js בחלקים מהשירותים שלהן, כך שחנויות מקוונות, שירותי סטרימינג, אפליקציות בנקאות ואתרי חברות עלולים לפעול על תשתית פגיעה בלי לדעת.
תוכנה מושפעת ומצב התיקונים
תיקונים נפרסים ב-Node.js, Bun, פלטפורמת .NET של Microsoft ומערכות Linux כולל Debian, Alpine ו-Amazon Linux. ל-Ubuntu ול-SUSE עדיין אין פתרון, ו-Red Hat תיקנה רק חלקית.
Red Hat אישרה ש-Mozilla Firefox ו-Thunderbird עלולים להיות מושפעים, לצד Node.js ושרתי אינטרנט שמעבדים תעבורת Brotli דחוסה. Microsoft פרסמה עדכוני אבטחה ל-.NET, אך אמרה ש-.NET Framework הישן אינו מושפע ושה-ASP.NET Core ו-HttpClient אינם משתמשים בפירוק דחיסת Brotli כברירת מחדל.
סיכון לניצול
קוד הוכחה-קונספט ציבורי יכול לגרום להשחתת זיכרון ולקריסות, לפי Red Hat, אך לא נצפה ניצול ציבורי אמין של הרצת קוד מרחוק. Node.js תיקנה 10 פגיעויות אבטחה בשבוע שעבר, כולל פגיעות חמורה במפענח Brotli, שלפי הדיווח נמצאה על ידי צוות האבטחה של OpenAI בזמן בדיקת מערכותיה, ותוקנה על ידי מפתחי Node.js Matteo Collina ו-Antoine du Hamel.
ניתן לנצל את הבאג על ידי הטעיית תוכנה פגיעה לפרק דחיסת נתונים זדוניים. אין צורך בהתחברות או באישורים אם התוכנה מעבדת נתונים דחוסים מצד תוקף, והתוצאה יכולה לכלול חשיפת מידע רגיש, קריסות יישומים או הרצת קוד מזיק.
מה ארגונים צריכים לעשות
Wiz מזהירה שרכיבים פגיעים נפוצים באשכולות Kubernetes, ביישומי ענן, בשערי API ובשירותים בקונטיינרים. חברות צריכות תחילה לתקן שירותים חשופים לאינטרנט שמעבדים נתוני Brotli לא מהימנים, לאחר מכן לבנות מחדש קונטיינרים מושפעים ולבדוק תוכנה אחרת עבור עותקי Brotli ישנים שנארזו איתה.
כשאין תיקון זמין, כיבוי פירוק דחיסת Brotli עבור נתונים לא מהימנים יכול להפחית את הסיכון.
סיקור קודם: Cloudflare מוסיפה כללי WAF חירום לפגיעות Brotli CVE-2026-111497
מקורות: Cybernews · The Register
SiTech — פיתוח אתרים בכוח ה-AI
אנחנו בונים אתרים מהירים ומודרניים ומשלבים AI בתהליכי עבודה אמיתיים. יש לכם פרויקט או שאלה? נשמח לעזור.