Weby čelí další bezpečnostní hrozbě. Vážná chyba zasáhla Node.js i Microsoft

Přidejte si obsah Centrum.cz do oblíbených zdrojů pro Google hledání a Google zprávy

Sdílet

Dennívýzva

Microsoft, Google i vývojáři Node.js řeší závažnou bezpečnostní chybu v kompresní technologii Brotli. Útočník může prostřednictvím speciálně upravených dat poškodit paměť aplikace a za určitých okolností získat kontrolu nad serverem.

Weby čelí další bezpečnostní hrozbě. Vážná chyba zasáhla Node.js i Microsoft

Zdroj: Shutterstock

Doba čtení 2 min

Článek byl publikován 29.10.2026 06:00

Microsoft vydal 25. října 2026 mimořádné bezpečnostní aktualizace pro platformu .NET. Důvodem je zranitelnost CVE-2026-111497, která se netýká pouze jeho produktů. Bezpečnostní problém zasáhl také Node.js a další software využívající kompresní technologii Brotli. Závažnější je především skutečnost, že za určitých podmínek může umožnit vzdálené spuštění škodlivého kódu.

Brotli vyvinul Google jako bezztrátový kompresní algoritmus. Na internetu pomáhá zmenšovat objem přenášených dat, například HTML dokumentů, stylů CSS nebo JavaScriptu. Právě jeho rozšíření znamená, že zranitelnost musí řešit vývojáři různých aplikací a serverových systémů.

Chyba může útočníkovi umožnit převzít kontrolu

Zranitelnost označovaná také jako HTTP2Shell nebo Node2Shell spočívá v nesprávném zpracování poškozených komprimovaných dat. Dekodér může zapisovat mimo vyhrazenou oblast paměti. Následkem může být pád aplikace, únik informací z paměti nebo v závažnějších případech spuštění útočníkova kódu.

Podle bezpečnostního oznámení Node.js se na odhalení podíleli Khai Tran a Sylvie Mayer z projektu OpenAI Codex Security. Zranitelnost získala hodnocení CVSS 9,2 z 10, samotný projekt Node.js ji však klasifikuje stupněm High.

Neznamená to, že je automaticky ohrožen každý web používající Brotli. Útočník musí přimět zranitelnou aplikaci, aby rozbalila jím připravená data. Pouhá podpora komprese na serveru k úspěšnému útoku nestačí.

Microsoft vydal mimořádnou opravu. Aktualizovat musí i správci serverů

Google zveřejnil opravy knihovny Brotli 21. října ve verzích 1.0.10, 1.1.1 a 1.2.1. Node.js následoval bezpečnostními verzemi 22.23.4, 24.22.1 a 26.12.1.

Microsoft následně opravil platformu .NET ve verzích 8.0.33, 9.0.22 a 10.0.14. Oprava je dostupná také pro testovací .NET 11 RC3. Podle Microsoftu může zranitelnost v jeho prostředí způsobit únik informací, výpadek služby nebo zvýšení oprávnění útočníka.

Správci by měli zkontrolovat nejen samotný server, ale také používané knihovny a aplikace. U některých instalací nestačí aktualizovat systém. Aplikace obsahující vlastní kopii zranitelné komponenty je nutné znovu sestavit a nasadit.

K 28. říjnu nejsou veřejně potvrzené rozsáhlé útoky zneužívající tuto konkrétní chybu. Bezpečnostní aktualizace už ale existují a jejich odkládání zbytečně prodlužuje dobu, po kterou mohou být zranitelné systémy vystaveny riziku.

Reklama

Další články z cdr.cz

Discord otevře tisíce komunit vyhledávačům. Uživatelé se bojí o své soukromí

Vědci už 99 let řeší divné rádiové ozvěny. Některé přicházely až po 30 sekundách

Před 99 lety zachytil norský inženýr rádiový signál, který se opakoval s neobvyklým zpožděním. Pozdější...

AI zdarma a bez odesílání dat na cizí servery. Opera představila zásadní novinku

Opera představila WebAI, technologii umožňující provozovat umělou inteligenci přímo v internetovém...

Mysleli jste, že vaše e-maily jsou před reklamou chráněné? Google udělal změnu

Google upravil zásady ochrany soukromí a připustil, že informace z Gmailu, Disku nebo Fotek mohou...

Mohou existovat černé díry těžší než celé galaxie? Vědci našli zajímavou odpověď

Černé díry s hmotností miliard Sluncí už astronomové znají. Co kdyby ale existovaly ještě mnohem větší,...

Tento článek byl publikován ze zdrojů cdr.cz

Web přináší články z oblasti informačních technologií, hardwaru, softwaru i moderních digitálních služeb. Čtenáři zde najdou přehled novinek, zajímavostí i témat, která ukazují, jak technologie ovlivňují každodenní život i budoucnost.Obsah kombinuje výběr aktuálních témat s vysvětlením...

Weby čelí další bezpečnostní hrozbě. Vážná chyba zasáhla Node.js i Microsoft

Prezidentský letoun mířil domů. Pak změnil kurz a začal příběh, který dodnes nemá jasné vysvětlení

Sníh je odřízl od světa. To, co místní na jaře v osadách našli, patří k nejtemnějším kapitolám Šumavy

Věra Komárová po vyhazovu z Dermacolu zuří. Manžel jí vypnul e-maily i karty

Zdají se pavoukům sny? Vědci zjistili, že si po probdělé noci dohánějí zvláštní fázi spánku

„Ježíš, nekoukej se na mě tak!“ Šárku Krausovou beze stínu studu balil strýc Lukáš Vaculík