Kritisk sårbarhet i Google Brotli

En kritisk sårbarhet i Google Brotli har publicerats. Sårbarheten CVE-2026-111497 har fått en CVSS-klassning på 9.2, och möjliggör för en oautentiserad angripare på distans att orsaka överbelastning av system eller potentiellt exekvera godtycklig kod. [1]

CISA har lagt till sårbarheten i KEV-katalogen (Known Exploited Vulnerabilities catalog). [2]

Påverkade komponenter

Alla Brotli-bibliotek eller binärfiler i intervallet 1.0.3 till 1.2.0. [1]

Rekommendationer

Vi rekommenderar att följa leverantörens instruktioner och skyndsamt uppdatera instanser. [1]

Om system inte går att uppdatera bör berörd instans begränsa åtkomst till Brotli genom brandvägg eller avstängning av funktionen. Om detta inte är möjligt bör systemet som nyttjar Brotli inte exponeras mot osäkra nätverk eller inom molnmiljöer.

Vi uppmanar också att rapportera intrång till eventuella leverantörer och NCSC – CERT-SE, samt om möjligt dela loggfiler och artefakter.

Automatiska notifieringar om tekniska sårbarheter (ANTS) från NCSC – CERT-SE

Vid tidpunkten för publicering av denna artikel ingår inte CVE-2026-111497 i ordinarie ANTS-notifieringar.

För mer information, se ANTS och Dela kontaktuppgifter.

Källor

[1] https://github.com/advisories/GHSA-9v8h-qqgm-4m35
[2] https://www.cisa.gov/known-exploited-vulnerabilities-catalog