OpenAI Brotli-де қашықтан код орындауға мүмкіндік беретін аса маңызды осалдықты анықтады
OpenAI зерттеушілері Brotli кітапханасынан CVE-2026-111497 нөмірімен тіркелген, Node2Shell деп те аталатын аса қауіпті осалдықты анықтады. Ақау — қысу кітапханасының декодеріндегі шекарадан тыс жазу қатесі. Ол аутентификациядан өтпеген шабуылдаушыға әдейі зиянды етіп құрастырылған сығылған деректер арқылы код орындатуға мүмкіндік беруі мүмкін. Осалдықтың CVSS бағасы — 9,2; ол клиенттік те, серверлік те қолданбаларға әсер етуі ықтимал.
Brotli осалдығына байланысты Node.js, Bun, Envoy және бірнеше Python пакетіне қауіпсіздік жаңартулары шығарылды. Node.js пайдаланушылары 22.23.4, 24.22.1 немесе 26.12.1 нұсқаларына жаңартуы керек; Bun бағдарламасының 1.4.4 нұсқасына дейінгі нұсқалары осал. Осалдықты көрсетуге арналған PoC кодтары пайда болды, ал Imperva зерттеушілері осал Node.js жинақтарын сенімді түрде пайдалануға болатынын көрсетті. Дегенмен, 2026 жылғы 23 қазандағы жағдай бойынша ауқымды шабуылдар болғанын растайтын ашық дерек жоқ еді.
Криптовалюта трейдерлеріне бағдарламалық ақау тікелей әсер етпейді. Бірақ биржалар, әмиян қызметтері және басқа криптоплатформалар, әсіресе сенімсіз сығылған деректерді өңдейтін жүйелерде, Brotli осал компоненттерінің бар-жоғын тексеруі керек. Бұл оқиға цифрлық активтер саласында кеңінен қолданылатын бағдарламалық инфрақұрылымға төнетін киберқауіпсіздік тәуекелдерін айқындайды.
Neutral
Бұл осалдықтың криптовалюта бағаларына, токен ұсынысына немесе блокчейн протоколдарының белсенділігіне тікелей қатысы жоқ. Сондықтан оның нарыққа ықпалын бейтарап деп бағалау орынды. Оның қазіргі кездегі маңызы операциялық сипатта: криптовалюта биржалары, кастодиандық қызметтер, әмиян жеткізушілері және басқа да сервистер Brotli-ді орындау орталары немесе тәуелділіктер арқылы пайдалануы мүмкін, ал сәтті шабуыл қызметтердің жұмысын бұзуы немесе жүйелерді осал етуі ықтимал. Трейдерлер жекелеген платформалардағы оқиғалар туралы хабарламаларды бақылауы мүмкін, бірақ мақалада зардап шеккен криптовалюта компаниясы не қызметі аталмайды.
Қысқа мерзімде тұжырымдаманы дәлелдейтін код пен осалдықтың жоғары қауіптілік бағасы зардап шеккен компанияларды қауіпсіздікті тексеруге, түзетулерді орнатуға және тәуекелдерді сақтықпен басқаруға итермелеуі мүмкін. Егер ірі биржа немесе әмиян провайдері осалдықтың пайдаланылғанын не қызметтің үзілуін хабарласа, оның пайдаланушылары қаражатты шығарып немесе белсенділігін азайтып жауап беруі ықтимал. Бұл белгілі бір платформаға тән құбылмалылық тудыруы мүмкін. Мақалада осалдықтың кең ауқымда пайдаланылғаны туралы айтылмайды, сондықтан нарықтың кең көлемде бұзылуын күтетін негіз шектеулі.
Ұзақ мерзімді перспективада бұл оқиға криптовалюта компанияларын жүйелеріне енгізілген ашық бастапқы кодты компоненттерге аудит жүргізуге және жеткізу тізбегінің қауіпсіздігін күшейтуге ынталандыруы мүмкін. Бағдарламалық жасақтамадағы осыған ұқсас осалдықтар әдетте бүкіл криптонарықта ұзаққа созылатын өзгерістерден гөрі нысаналы операциялық шараларға әкеледі. Алайда олар расталған бұзылуға, қаражаттың жоғалуына немесе қызметтің ұзақ уақытқа тоқтауына себеп болса, жағдай өзгеше болуы мүмкін. Сондықтан трейдерлер инфрақұрылымға төнетін жалпы тәуекелді криптовалюта саласындағы нақты оқиғаға қатысты дәлелдерден ажырата білуі керек.