Uma vulnerabilidade no Brotli, biblioteca usada para comprimir e descompactar dados em diversos programas, pode permitir que um invasor cause falhas, acesse partes da memória de um processo ou, em determinadas condições, execute código remotamente. O problema recebeu o identificador CVE-2026-111497 e levou a atualizações de segurança no Node.js, Bun e Envoy, além da própria biblioteca Brotli.
O projeto Node.js publicou correções em 21 de outubro. Em 23 de outubro, a Reuters noticiou que pesquisadores e agentes de IA usados em testes de segurança da OpenAI haviam identificado o problema durante uma revisão de seus ambientes de treinamento. A divulgação de uma vulnerabilidade não comprova que ela tenha sido explorada em ataques reais.
Qual é o risco?
O problema está no componente que descompacta dados Brotli. Um fluxo comprimido especialmente preparado pode fazer o decodificador gravar informações fora dos limites previstos da memória. O impacto potencial inclui interrupção do serviço, exposição de memória e execução de código, dependendo da forma como o software vulnerável processa dados não confiáveis.
O boletim do Node.js classifica a falha como alta gravidade; o aviso do ecossistema Brotli registra avaliação crítica. Essas classificações não são idênticas porque consideram produtos e contextos de exposição diferentes. Nem todo aplicativo que utiliza Brotli está automaticamente vulnerável a um ataque remoto: o risco depende de receber e descompactar dados controlados por terceiros em um caminho afetado.
Boletim técnico: Node.js descreve a falha CVE-2026-111497 e as correções de outubro.
Quais versões têm correção?
As atualizações publicadas pelos próprios mantenedores incluem:
- Brotli: versões corrigidas 1.0.10, 1.1.1 e 1.2.1, conforme a linha utilizada.
- Node.js: versões 22.23.4, 24.22.1 e 26.12.1 ou versões posteriores compatíveis, nas respectivas linhas.
- Bun: versão 1.4.4 ou posterior. O aviso de segurança aponta versões anteriores à 1.4.4, a partir da 1.0.21, como afetadas.
- Envoy: versões 1.36.12, 1.37.8, 1.38.6, 1.39.3 e 1.40.0, nas respectivas linhas suportadas.
O lançamento do Brotli 1.2.1 cita expressamente a correção da CVE. Os avisos de Bun e Envoy detalham os pacotes afetados e as versões corrigidas. Quem usa uma distribuição Linux, um contêiner ou um produto que incorpora Brotli deve conferir também os avisos do fornecedor específico, pois versões e correções podem ser distribuídas de forma diferente.
O que desenvolvedores e administradores devem fazer?
A recomendação é inventariar as versões efetivamente instaladas, consultar os boletins oficiais do programa ou da distribuição e aplicar as atualizações de segurança. Serviços e imagens de contêiner que incorporam uma biblioteca antiga podem precisar de reconstrução e novo deploy após a correção.
Não basta presumir que um sistema está protegido apenas porque uma correção já existe no repositório de origem. É necessário confirmar que a versão usada na execução contém o ajuste. Enquanto a atualização não for possível, o operador deve avaliar medidas temporárias indicadas pelos fornecedores para limitar a descompactação de conteúdo Brotli não confiável, considerando o impacto funcional da mudança.
Como a inteligência artificial entrou na descoberta?
A OpenAI relatou que submeteu agentes de IA a testes de segurança em ambientes controlados, após um incidente de isolamento ocorrido em setembro. Nesse processo, foram identificados problemas em componentes de software de uso amplo. O caso Brotli ilustra como ferramentas de IA podem contribuir para encontrar falhas, mas também reforça a necessidade de correção coordenada e verificação humana dos resultados.
A Reuters publicou em 23 de outubro a relação entre os testes, a divulgação da vulnerabilidade e a retomada de atividades internas de treinamento da empresa. O episódio de treinamento e a CVE-2026-111497 são fatos distintos: esta reportagem trata especificamente do risco técnico e das atualizações disponíveis.
Imagem de capa: racks de servidores no NERSC, fotografia de arquivo de 2011 de Derrick Coetzee, disponibilizada sob CC0 1.0 no Wikimedia Commons. A imagem é ilustrativa e não mostra sistemas afetados pela vulnerabilidade.
Fontes
Node.js; Google Brotli; Bun; Envoy; Reuters ↗
Node.js, boletim de 21/10/2026: https://nodejs.org/en/blog/vulnerability/october-2026-security-releases; Google Brotli, versão 1.2.1 de 21/10/2026: https://github.com/google/brotli/releases/tag/v1.2.1; Bun, aviso GHSA-663w-cv8g-jj2p de 23/10/2026: https://github.com/oven-sh/bun/security/advisories/GHSA-663w-cv8g-jj2p; Envoy, aviso GHSA-3wvj-j6qm-62mr de 23/10/2026: https://github.com/envoyproxy/envoy/security/advisories/GHSA-3wvj-j6qm-62mr; Reuters, 23/10/2026: https://www.reuters.com/business/openai-resumes-frontier-ai-training-with-enhanced-security-no-internet-access-2026-10-23/; Wikimedia Commons, Derrick Coetzee, CC0 1.0: https://commons.wikimedia.org/wiki/File:Front_of_server_racks_at_NERSC.jpg