OpenAI обнаружила критическую уязвимость удалённого выполнения кода в Brotli
Исследователи OpenAI обнаружили критическую уязвимость в Brotli — CVE-2026-111497, также известную как Node2Shell. Ошибка представляет собой запись за пределами допустимых границ в декодере библиотеки сжатия и может позволить неаутентифицированному злоумышленнику выполнить код с помощью специально сформированных вредоносных сжатых данных. Оценка уязвимости по CVSS составляет 9,2; она может затрагивать как клиентские, так и серверные приложения.
Уязвимость Brotli привела к выпуску обновлений безопасности для Node.js, Bun, Envoy и нескольких пакетов Python. Пользователям Node.js следует обновиться до версий 22.23.4, 24.22.1 или 26.12.1; версии Bun ниже 1.4.4 уязвимы. Появился код для подтверждения концепции атаки, а исследователи Imperva продемонстрировали возможность надежной эксплуатации уязвимых сборок Node.js. При этом по состоянию на 23 октября 2026 года публичных свидетельств широкомасштабных атак не было.
Трейдеры криптовалют напрямую не затронуты этой программной уязвимостью, однако биржам, сервисам кошельков и другим криптовалютным платформам следует проверить, не используются ли у них уязвимые компоненты Brotli, особенно при обработке недоверенных сжатых данных. Этот инцидент подчеркивает риски кибербезопасности, которым подвержена программная инфраструктура, используемая во всем секторе цифровых активов.
Neutral
Эта уязвимость напрямую не связана с ценами на криптовалюты, предложением токенов или активностью блокчейн-протоколов, поэтому наиболее уместно считать её влияние на рынок нейтральным. В первую очередь она имеет операционное значение: криптовалютные биржи, кастодиальные сервисы, поставщики кошельков и другие службы могут использовать Brotli через среды выполнения или зависимости, а успешная атака способна нарушить работу сервисов или подвергнуть системы риску. Трейдеры могут следить за сообщениями об инцидентах на отдельных платформах, однако в статье не названа ни одна затронутая криптокомпания или служба.
В краткосрочной перспективе код для подтверждения концепции и высокий уровень серьёзности уязвимости могут побудить затронутые компании провести проверки безопасности, установить исправления и осторожнее управлять рисками. Если крупная биржа или поставщик кошельков сообщит об эксплуатации уязвимости или перебоях в работе, пользователи могут отреагировать выводом средств или снижением активности, что потенциально вызовет волатильность на конкретной платформе. В статье не сообщается о масштабной эксплуатации уязвимости, поэтому оснований ожидать более широких потрясений на рынке немного.
В долгосрочной перспективе этот инцидент может побудить криптокомпании проверять включённые в их системы компоненты с открытым исходным кодом и укреплять безопасность цепочек поставок. Подобные уязвимости программного обеспечения обычно приводят к целевым операционным мерам, а не к продолжительным движениям на всём крипторынке — если только они не вызывают подтверждённую утечку данных, потерю средств или длительный сбой в работе сервиса. Поэтому трейдерам следует отличать общий риск для инфраструктуры от свидетельств конкретного инцидента в криптоотрасли.