OpenAI menemui kelemahan kritikal pelaksanaan kod jauh dalam Brotli
Penyelidik OpenAI menemui kerentanan kritikal dalam Brotli, CVE-2026-111497, yang juga dikenali sebagai Node2Shell. Kecacatan ini ialah penulisan di luar sempadan dalam penyahkod pustaka pemampatan, yang boleh membolehkan penyerang tanpa pengesahan melaksanakan kod menggunakan data termampat yang direka khas untuk tujuan jahat. Kerentanan ini mempunyai skor CVSS 9.2 dan boleh menjejaskan aplikasi bahagian klien serta bahagian pelayan.
Kerentanan Brotli ini mendorong kemas kini keselamatan untuk Node.js, Bun, Envoy dan beberapa pakej Python. Pengguna Node.js disarankan menaik taraf kepada versi 22.23.4, 24.22.1 atau 26.12.1; versi Bun sebelum 1.4.4 terjejas. Kod bukti konsep telah muncul, dan penyelidik Imperva menunjukkan bahawa eksploitasi terhadap binaan Node.js yang terjejas boleh dilakukan dengan andal. Walau bagaimanapun, setakat 23 Oktober 2026, tiada bukti awam tentang serangan yang meluas.
Pedagang kripto tidak terjejas secara langsung oleh kecacatan perisian ini, tetapi bursa, perkhidmatan dompet dan platform kripto lain patut menyemak sama ada mereka menggunakan komponen Brotli yang terdedah, khususnya apabila memproses data termampat daripada sumber yang tidak dipercayai. Insiden ini menyerlahkan risiko keselamatan siber yang dihadapi oleh infrastruktur perisian yang digunakan di seluruh sektor aset digital.
Neutral
Kerentanan ini tidak mempunyai kaitan langsung dengan harga mata wang kripto, bekalan token atau aktiviti protokol rantaian blok, maka kesan pasaran yang neutral adalah paling sesuai. Relevan serta-merta dari segi operasi: bursa kripto, kustodian, penyedia dompet dan perkhidmatan lain mungkin menggunakan Brotli melalui persekitaran masa jalan atau kebergantungan, dan serangan yang berjaya boleh mengganggu perkhidmatan atau mendedahkan sistem. Pedagang boleh memantau laporan insiden daripada platform tertentu, tetapi artikel ini tidak mengenal pasti mana-mana syarikat atau perkhidmatan kripto yang terjejas.
Dalam jangka pendek, kod bukti konsep dan skor keterukan yang tinggi boleh mendorong semakan keselamatan, pemasangan tampalan serta pengurusan risiko yang berhati-hati oleh perniagaan yang terjejas. Jika bursa atau dompet utama mendedahkan eksploitasi atau gangguan perkhidmatan, pengguna mungkin bertindak dengan mengeluarkan aset atau mengurangkan aktiviti, sekali gus berpotensi mewujudkan turun naik khusus pada platform tersebut. Artikel ini tidak melaporkan eksploitasi yang meluas, yang mengehadkan asas untuk menjangkakan gangguan pasaran yang lebih besar.
Dalam jangka panjang, insiden ini mungkin mendorong firma kripto mengaudit komponen sumber terbuka yang digabungkan dan memperkukuh keselamatan rantaian bekalan. Kerentanan perisian yang serupa lazimnya mendorong tindak balas operasi yang bersasar, bukannya pergerakan berpanjangan merentas pasaran kripto, melainkan ia membawa kepada pencerobohan yang disahkan, kehilangan dana atau gangguan perkhidmatan yang berpanjangan. Oleh itu, pedagang patut membezakan risiko infrastruktur umum daripada bukti insiden khusus dalam sektor kripto.