Natuklasan ng OpenAI ang kritikal na kahinaan sa Brotli na nagbibigay-daan sa malayuang pagpapatakbo ng code
Natuklasan ng mga mananaliksik ng OpenAI ang isang kritikal na kahinaan sa Brotli, CVE-2026-111497, na kilala rin bilang Node2Shell. Ang depekto ay isang out-of-bounds write sa decoder ng compression library, na maaaring magbigay-daan sa isang hindi awtorisadong umaatake na magpatakbo ng code gamit ang malisyosong inihandang naka-compress na data. May CVSS score itong 9.2 at maaaring makaapekto sa mga application sa panig ng kliyente at server.
Dahil sa kahinaan sa Brotli, naglabas ng mga update sa seguridad para sa Node.js, Bun, Envoy at ilang Python package. Dapat mag-upgrade ang mga gumagamit ng Node.js sa bersyong 22.23.4, 24.22.1 o 26.12.1; apektado ang mga bersyon ng Bun na mas luma sa 1.4.4. Lumitaw na ang proof-of-concept code, at ipinakita ng mga mananaliksik ng Imperva na maaasahang mapagsasamantalahan ang kahinaan sa mga apektadong Node.js build. Gayunman, wala pang pampublikong ebidensiya ng malawakang pag-atake noong Oktubre 23, 2026.
Hindi direktang apektado ng depekto sa software ang mga crypto trader, ngunit dapat suriin ng mga exchange, serbisyo ng wallet at iba pang crypto platform kung mayroon silang mga bulnerableng bahagi ng Brotli, lalo na kung nagpoproseso ang mga ito ng naka-compress na data mula sa mga hindi pinagkakatiwalaang pinagmulan. Itinatampok ng insidente ang mga panganib sa cybersecurity na kinahaharap ng imprastraktura ng software na ginagamit sa buong sektor ng digital asset.
Neutral
Walang direktang ugnayan ang kahinaang ito sa mga presyo ng cryptocurrency, suplay ng token, o aktibidad ng blockchain protocol, kaya pinakaangkop ang neutral na epekto sa merkado. Operasyonal ang agarang kahalagahan nito: maaaring gumamit ng Brotli ang mga crypto exchange, custodian, provider ng wallet, at iba pang serbisyo sa pamamagitan ng mga runtime o dependency, at maaaring magdulot ng pagkaantala sa serbisyo o maglantad ng mga sistema ang matagumpay na pag-atake. Maaaring bantayan ng mga trader ang mga ulat ng insidente mula sa mga indibidwal na platform, ngunit walang tinutukoy ang artikulo na apektadong kumpanya o serbisyo sa crypto.
Sa maikling panahon, maaaring mag-udyok sa mga apektadong negosyo ang proof-of-concept code at mataas na severity score na magsagawa ng mga pagsusuri sa seguridad, maglagay ng mga patch, at maingat na pamahalaan ang panganib. Kung maghayag ng exploit o pagkawala ng serbisyo ang isang malaking exchange o wallet, maaaring mag-withdraw ng mga pondo o magbawas ng aktibidad ang mga user nito, na posibleng magdulot ng volatility sa partikular na platform. Walang iniulat sa artikulo na malawakang pagsasamantala sa kahinaan, kaya limitado ang batayan para umasa ng mas malawak na pagkagambala sa merkado.
Sa mas mahabang panahon, maaaring hikayatin ng insidenteng ito ang mga crypto firm na siyasatin ang mga naka-bundle na open-source component at palakasin ang seguridad ng supply chain. Karaniwang nagdudulot ang mga katulad na kahinaan sa software ng mga naka-target na operasyonal na tugon, sa halip na matagalang paggalaw sa buong crypto market—maliban kung humantong ang mga ito sa kumpirmadong paglabag, pagkawala ng pondo, o matagal na pagkaantala ng serbisyo. Kaya dapat ihiwalay ng mga trader ang pangkalahatang panganib sa imprastraktura sa ebidensiya ng isang partikular na insidente sa sektor ng crypto.