OpenAI scopre una vulnerabilità critica di esecuzione remota di codice in Brotli
I ricercatori di OpenAI hanno scoperto una vulnerabilità critica in Brotli, CVE-2026-111497, nota anche come Node2Shell. Il difetto consiste in una scrittura fuori dai limiti nel decoder della libreria di compressione e potrebbe consentire a un aggressore non autenticato di eseguire codice tramite dati compressi creati ad arte. Ha un punteggio CVSS di 9,2 e potrebbe interessare applicazioni sia lato client sia lato server.
La vulnerabilità di Brotli ha portato al rilascio di aggiornamenti di sicurezza per Node.js, Bun, Envoy e diversi pacchetti Python. Gli utenti di Node.js dovrebbero aggiornare alle versioni 22.23.4, 24.22.1 o 26.12.1; le versioni di Bun precedenti alla 1.4.4 sono interessate. Sono emersi codici proof-of-concept e i ricercatori di Imperva hanno dimostrato che è possibile sfruttare in modo affidabile le build di Node.js vulnerabili, anche se al 23 ottobre 2026 non c'erano prove pubbliche di attacchi diffusi.
I trader di criptovalute non sono direttamente interessati dal difetto software, ma exchange, servizi di wallet e altre piattaforme crypto dovrebbero verificare la presenza di componenti Brotli vulnerabili, soprattutto nei sistemi che elaborano dati compressi non attendibili. L'incidente evidenzia i rischi per la cybersicurezza che gravano sull'infrastruttura software utilizzata nell'intero settore degli asset digitali.
Neutral
La vulnerabilità non è direttamente collegata ai prezzi delle criptovalute, all’offerta di token o all’attività dei protocolli blockchain; pertanto, è più appropriato considerare neutro il suo impatto sul mercato. La sua rilevanza immediata è di natura operativa: gli exchange di criptovalute, i custodi, i fornitori di wallet e altri servizi potrebbero utilizzare Brotli tramite runtime o dipendenze, e un attacco riuscito potrebbe interrompere i servizi o esporre i sistemi. I trader potrebbero seguire le segnalazioni di incidenti da parte di singole piattaforme, ma l’articolo non identifica alcuna società o servizio crypto interessato.
Nel breve termine, il codice proof-of-concept e l’elevato punteggio di gravità potrebbero indurre le aziende interessate a effettuare verifiche di sicurezza, applicare patch e gestire i rischi con cautela. Se un grande exchange o wallet segnalasse un exploit o un’interruzione del servizio, i suoi utenti potrebbero reagire effettuando prelievi o riducendo l’attività, con possibili oscillazioni limitate alla piattaforma. L’articolo non segnala sfruttamenti diffusi, il che riduce i motivi per aspettarsi ripercussioni più ampie sul mercato.
Nel lungo termine, l’incidente potrebbe spingere le aziende crypto a verificare i componenti open source integrati nei propri sistemi e a rafforzare la sicurezza della catena di approvvigionamento. Vulnerabilità software simili hanno generalmente portato a interventi operativi mirati, anziché a movimenti prolungati sull’intero mercato crypto, a meno che non provochino una violazione confermata, la perdita di fondi o un’interruzione prolungata del servizio. I trader dovrebbero quindi distinguere il rischio generale per l’infrastruttura dalle prove di un incidente specifico nel settore crypto.