Weby čelí další bezpečnostní hrozbě. Vážná chyba zasáhla Node.js i Microsoft

Přidejte si obsah Centrum.cz do oblíbených zdrojů pro Google hledání a Google zprávy

Sdílet

Dennívýzva

Microsoft, Google i vývojáři Node.js řeší závažnou bezpečnostní chybu v kompresní technologii Brotli. Útočník může prostřednictvím speciálně upravených dat poškodit paměť aplikace a za určitých okolností získat kontrolu nad serverem.

Weby čelí další bezpečnostní hrozbě. Vážná chyba zasáhla Node.js i Microsoft

Zdroj: Shutterstock

Doba čtení 2 min

Článek byl publikován 29.10.2026 06:00

Microsoft vydal 25. října 2026 mimořádné bezpečnostní aktualizace pro platformu .NET. Důvodem je zranitelnost CVE-2026-111497, která se netýká pouze jeho produktů. Bezpečnostní problém zasáhl také Node.js a další software využívající kompresní technologii Brotli. Závažnější je především skutečnost, že za určitých podmínek může umožnit vzdálené spuštění škodlivého kódu.

Brotli vyvinul Google jako bezztrátový kompresní algoritmus. Na internetu pomáhá zmenšovat objem přenášených dat, například HTML dokumentů, stylů CSS nebo JavaScriptu. Právě jeho rozšíření znamená, že zranitelnost musí řešit vývojáři různých aplikací a serverových systémů.

Chyba může útočníkovi umožnit převzít kontrolu

Zranitelnost označovaná také jako HTTP2Shell nebo Node2Shell spočívá v nesprávném zpracování poškozených komprimovaných dat. Dekodér může zapisovat mimo vyhrazenou oblast paměti. Následkem může být pád aplikace, únik informací z paměti nebo v závažnějších případech spuštění útočníkova kódu.

Podle bezpečnostního oznámení Node.js se na odhalení podíleli Khai Tran a Sylvie Mayer z projektu OpenAI Codex Security. Zranitelnost získala hodnocení CVSS 9,2 z 10, samotný projekt Node.js ji však klasifikuje stupněm High.

Neznamená to, že je automaticky ohrožen každý web používající Brotli. Útočník musí přimět zranitelnou aplikaci, aby rozbalila jím připravená data. Pouhá podpora komprese na serveru k úspěšnému útoku nestačí.

Microsoft vydal mimořádnou opravu. Aktualizovat musí i správci serverů

Google zveřejnil opravy knihovny Brotli 21. října ve verzích 1.0.10, 1.1.1 a 1.2.1. Node.js následoval bezpečnostními verzemi 22.23.4, 24.22.1 a 26.12.1.

Microsoft následně opravil platformu .NET ve verzích 8.0.33, 9.0.22 a 10.0.14. Oprava je dostupná také pro testovací .NET 11 RC3. Podle Microsoftu může zranitelnost v jeho prostředí způsobit únik informací, výpadek služby nebo zvýšení oprávnění útočníka.

Správci by měli zkontrolovat nejen samotný server, ale také používané knihovny a aplikace. U některých instalací nestačí aktualizovat systém. Aplikace obsahující vlastní kopii zranitelné komponenty je nutné znovu sestavit a nasadit.

K 28. říjnu nejsou veřejně potvrzené rozsáhlé útoky zneužívající tuto konkrétní chybu. Bezpečnostní aktualizace už ale existují a jejich odkládání zbytečně prodlužuje dobu, po kterou mohou být zranitelné systémy vystaveny riziku.

Reklama

Další články z cdr.cz

Vědci vložili magnety do svalů. Muž díky nim cítil pohyb ruky, kterou už nemá

Windows 11 mění pravé tlačítko myši. Nepotřebné funkce konečně půjdou odstranit

Pět let trvalo Microsoftu, než umožnil uživatelům Windows 11 pořádně upravit nabídku pravého tlačítka myši....

Discord otevře tisíce komunit vyhledávačům. Uživatelé se bojí o své soukromí

Discord od listopadu zpřístupní veřejné komunity internetovým vyhledávačům a v prosinci začne zveřejňovat i...

Vědci už 99 let řeší divné rádiové ozvěny. Některé přicházely až po 30 sekundách

Před 99 lety zachytil norský inženýr rádiový signál, který se opakoval s neobvyklým zpožděním. Pozdější...

AI zdarma a bez odesílání dat na cizí servery. Opera představila zásadní novinku

Opera představila WebAI, technologii umožňující provozovat umělou inteligenci přímo v internetovém...

Tento článek byl publikován ze zdrojů cdr.cz

Web přináší články z oblasti informačních technologií, hardwaru, softwaru i moderních digitálních služeb. Čtenáři zde najdou přehled novinek, zajímavostí i témat, která ukazují, jak technologie ovlivňují každodenní život i budoucnost.Obsah kombinuje výběr aktuálních témat s vysvětlením...

Weby čelí další bezpečnostní hrozbě. Vážná chyba zasáhla Node.js i Microsoft

Výbuch ve Strnadově továrně na munici. Vyráběla pro Ukrajinu. Na místě jsou ranění

Lucy Lawless se proslavila jako Xena. Dnes má blond vlasy, nosí brýle a nabídky z Hollywoodu odmítá

Tři roky měl v zádech brzdovou páčku z kola. Lékaři zjistili, jak ji jeho tělo dokázalo tolerovat

Proti Rusům na MS budeme protestovat, oznámil Šťastný. Hašek mluví o reklamě na válku

Indický chlapec tvrdil, že si pamatuje vlastní vraždu z minulého života. Co opravdu zjistilo vyšetřování?