OpenAI виявила критичну вразливість у Brotli, що дає змогу віддалено виконувати код
Дослідники OpenAI виявили критичну вразливість у Brotli — CVE-2026-111497, також відому як Node2Shell. Помилка полягає в записі за межами буфера в декодері бібліотеки стиснення й може дозволити неавтентифікованому зловмиснику виконати код за допомогою спеціально сформованих шкідливих стиснених даних. Оцінка вразливості за CVSS становить 9,2; вона може впливати як на клієнтські, так і на серверні застосунки.
Вразливість Brotli спонукала до випуску оновлень безпеки для Node.js, Bun, Envoy і кількох пакетів Python. Користувачам Node.js слід оновитися до версій 22.23.4, 24.22.1 або 26.12.1; версії Bun нижче 1.4.4 уразливі. З’явився код для підтвердження концепції атаки, а дослідники Imperva продемонстрували, що уразливі збірки Node.js можна надійно експлуатувати. Водночас станом на 23 жовтня 2026 року публічних свідчень масштабних атак не було.
Трейдери криптовалют не зазнають прямого впливу цієї програмної помилки, однак біржам, сервісам гаманців та іншим криптоплатформам варто перевірити, чи використовують вони уразливі компоненти Brotli, особливо там, де обробляють стиснені дані з ненадійних джерел. Цей інцидент підкреслює ризики кібербезпеки для програмної інфраструктури, що використовується в усьому секторі цифрових активів.
Neutral
Ця вразливість не має прямого зв’язку з цінами на криптовалюти, пропозицією токенів чи активністю блокчейн-протоколів, тому найдоречніше вважати її вплив на ринок нейтральним. Її безпосереднє значення має операційний характер: криптовалютні біржі, кастодіальні сервіси, постачальники гаманців та інші служби можуть використовувати Brotli через середовища виконання або залежності, а успішна атака може порушити роботу сервісів чи наразити системи на небезпеку. Трейдери можуть стежити за повідомленнями про інциденти на окремих платформах, однак у статті не названо жодної постраждалої криптокомпанії чи служби.
У короткостроковій перспективі код для підтвердження концепції та високий показник серйозності можуть спонукати постраждалі компанії перевірити безпеку, встановити виправлення й обережно управляти ризиками. Якщо велика біржа або постачальник гаманців повідомить про експлуатацію вразливості чи перебої в роботі, користувачі можуть відреагувати виведенням коштів або зниженням активності, що потенційно спричинить волатильність на конкретній платформі. У статті не повідомляється про масштабну експлуатацію, тому підстав очікувати ширших ринкових потрясінь небагато.
У довгостроковій перспективі цей інцидент може спонукати криптокомпанії перевіряти вбудовані компоненти з відкритим вихідним кодом і посилювати безпеку ланцюгів постачання. Подібні вразливості програмного забезпечення зазвичай спричиняють цілеспрямовані операційні заходи, а не тривалі рухи на всьому крипторинку — якщо тільки вони не призводять до підтвердженого зламу, втрати коштів або тривалого припинення роботи сервісу. Тому трейдерам слід відрізняти загальний ризик для інфраструктури від доказів конкретного інциденту в криптосекторі.