HTTP2Shell wird ausgenutzt: Die Brotli-Lücke steckt in PowerShell, .NET und VMware Cloud Foundation

Eine Schwachstelle in Googles Kompressionsbibliothek Brotli hat sich innerhalb einer Woche von einer Node.js-Meldung zu einem Problem für die gesamte Serverlandschaft entwickelt. Seit dem 27. Oktober 2026 führt die US-Behörde CISA die Lücke CVE-2026-111497 als aktiv ausgenutzt. Microsoft hat außerplanmäßig .NET und PowerShell gepatcht, Broadcom wartet beim SDDC Manager von VMware Cloud Foundation noch auf einen Patch und liefert vorerst nur einen Workaround.

Brotli ist ein Verfahren, das Webserver und Clients nutzen, um Daten vor der Übertragung zu verkleinern. Der Fehler sitzt im Decoder, also in dem Teil, der komprimierte Daten wieder auspackt. Ein präparierter Datenstrom reicht, um Speicher außerhalb des vorgesehenen Bereichs zu überschreiben. Je nach Produkt bedeutet das Absturz, Speicherabfluss oder im schlechtesten Fall fremde Codeausführung.

Was passiert ist

Warum die Lücke technisch bemerkenswert ist

Drei Dinge unterscheiden HTTP2Shell von einer gewöhnlichen Bibliotheks-Lücke. Erstens die Angriffsrichtung: Der Decoder verarbeitet Daten, die von außen kommen. Ein Server, der Brotli-komprimierte Anfragen annimmt, oder ein Client, der Antworten automatisch dekomprimiert, lässt fremde Daten direkt in den verwundbaren Code laufen. Dafür braucht der Angreifer keine Anmeldung.

Zweitens die Verbreitung. Brotli wird nicht als eigenes Paket wahrgenommen, sondern kommt als Abhängigkeit mit. In .NET sitzt es in System.IO.Compression und damit in jeder PowerShell-7-Installation. In Node.js ist es eingebaut. Python-Pakete wie brotli und brotlicffi bringen es mit. Und im SDDC Manager von VMware Cloud Foundation steckt es über die Node.js-Komponente der Verwaltungsoberfläche. Ein Inventar nach Produktnamen findet davon nichts.

Drittens die Einschränkung, die man fairerweise nennen muss: Der öffentlich bekannte Exploit erreicht Codeausführung nach Angaben von SOC Prime bisher nur auf absichtlich geschwächten Test-Builds. Auf normalen Node.js-Builds berichten Forscher von Abstürzen und begrenztem Speicherabfluss. Microsoft bewertet die Lücke in seinem eigenen Advisory mit CVSS 8.1, Google mit 9.2, Broadcom für den SDDC Manager 9.1.1 mit 9.8. Die Spanne zeigt: Die Auswirkung hängt vom Produkt ab, das Brotli einbettet. Für die Entscheidung, ob man patcht, spielt das keine Rolle. Für die Reihenfolge schon.

Wo die Lücke in typischen Umgebungen steckt

Was Betreiber jetzt prüfen sollten

1. PowerShell 7 auf allen Admin-Rechnern und Servern auf 7.4.22, 7.5.13 oder 7.6.9 heben. PowerShell 7 wird nicht über Windows Update gepflegt, sondern über winget, den MSI-Installer oder den Microsoft Store. Wer es einmal installiert und vergessen hat, hat jetzt eine verwundbare Version.
2. .NET-Runtimes inventarisieren. Jede selbst betriebene .NET-Anwendung, die Brotli-komprimierte Anfragen annimmt oder per HttpClient automatisch dekomprimiert, gehört auf die aktuelle Runtime. Self-contained-Anwendungen tragen die Runtime in sich und müssen neu gebaut werden.
3. Node.js-Instanzen prüfen, auch die versteckten. Die Vorgehensweise dazu steht in unserem Beitrag vom 22. Oktober; die dort genannten Versionen enthalten bereits den Brotli-Fix.
4. VMware Cloud Foundation: SDDC-Manager-Version feststellen und den passenden Workaround aus der Broadcom-Wissensdatenbank einspielen. Er deaktiviert den Brotli-Decoder in der Verwaltungsoberfläche per Preload-Datei und gehört in den Änderungsprozess, nicht in die Mittagspause. Vorher Snapshot oder Backup der Appliance.
5. Übergangsweise am Reverse Proxy oder an der Firewall Anfragen mit Content-Encoding br verwerfen, wenn ein betroffener Dienst nicht sofort aktualisiert werden kann. Das ist die Empfehlung von CISA und Microsoft für den Zeitraum bis zum Patch.
6. Nach dem Patchen Prozesse neu starten und Container-Images neu bauen. Eine aktualisierte Bibliothek auf der Platte hilft nichts, solange der laufende Prozess die alte Version im Speicher hat.

$PSVersionTable.PSVersion

dotnet --list-runtimes

node --version

Einordnung

Drei Punkte nehmen wir aus dieser Woche mit.

• Ein stiller Fix ist kein Fix. Acht Monate lag die Korrektur offen im Quellcode, ohne Release und ohne Warnung. Wer Brotli als Abhängigkeit nutzte, hatte keine Chance, davon zu erfahren. Das Muster kennen wir von AnyDesk im Oktober: Die Lücke wird nicht durch den Fehler gefährlich, sondern durch die Zeit zwischen Fix und Information.
• Inventar nach Bibliotheken, nicht nach Produkten. Eine Software-Stückliste, die festhält, welche Bibliotheken in welchen Anwendungen stecken, hätte die Frage "Wo haben wir Brotli?" in Minuten beantwortet. Genau das verlangt der Cyber Resilience Act künftig von Herstellern. Betreiber sollten es für ihre eigenen Anwendungen nicht anders halten.
• Der Management-Layer ist das Ziel. Beim SDDC Manager liegt die höchste Bewertung bei 9.8 für die aktuellste Version. Eine Verwaltungsoberfläche, die ganze Rechenzentren steuert, darf nicht aus dem Netz erreichbar sein, Brotli-Lücke hin oder her. Wer das prüft, löst gleich mehrere künftige Advisories mit.

Quellen & weiterführende Links

• WinFuture

  HTTP2Shell: Schwachstelle in Googles Brotli wird aktiv angegriffen (Anlass dieses Beitrags)
• CISA

  CISA Adds Two Known Exploited Vulnerabilities to Catalog (27.10.2026)
• NVD

  CVE-2026-111497
• GitHub Advisory Database

  GHSA-9v8h-qqgm-4m35 – Brotli decoder out-of-bounds write
• Broadcom

  VMSA-2026-0008.1 – Node.js Brotli decoder RCE in SDDC Manager
• Broadcom KB

  Manual interim workaround for CVE-2026-111497 on SDDC Manager 9.1.1.x
• Broadcom KB

  Manual interim workaround for CVE-2026-111497 on SDDC Manager 5.2.x, 9.0.2, 9.1.0
• BleepingComputer

  Microsoft releases emergency .NET patches for critical Brotli flaw
• BleepingComputer

  CISA warns of hackers now exploiting critical Node2Shell flaw
• Help Net Security

  Brotli bug reaches far beyond Node.js (CVE-2026-111497)
• ELLIO

  Node2Shell CVE-2026-111497: RCE on stock Node.js builds
• codekunst systems

  Node.js schließt zehn Sicherheitslücken – auch hier lohnt der Blick auf versteckte Installationen