Các nhà nghiên cứu bảo mật vừa cảnh báo một lỗ hổng nghiêm trọng trong Brotli, thư viện nén dữ liệu do Google (GOOGL) phát triển. Lỗ hổng mang mã CVE-2026-111497, biệt danh “node2shell”, đạt 9,2/10 điểm mức độ nguy hiểm theo thang CVSS v4.0, tức mức Critical.

Brotli là gì và vì sao nguy hiểm?

Brotli giúp thu nhỏ dữ liệu trước khi gửi qua internet, nên các trang web tải nhanh hơn. Bạn dùng nó mỗi ngày mà không hay biết. Lỗi nằm ở bộ giải nén: nó nhận thêm dữ liệu khi lẽ ra phải từ chối, khiến vùng nhớ bị ghi đè. Kẻ tấn công chỉ cần gửi một gói dữ liệu được tạo sẵn để làm sập chương trình, đánh cắp thông tin hoặc thậm chí chạy mã độc.

Ai bị ảnh hưởng?

Lỗi ảnh hưởng Brotli từ phiên bản 1.0.3 đến 1.2.0. Node.js bị tác động, và các thư viện Python như requests, httpx, aiohttp cũng có nguy cơ. Rủi ro đi theo cả hai chiều: máy chủ độc hại có thể tấn công ứng dụng khách, và ngược lại. OpenAI cho biết đã phát hiện vấn đề từ tháng 2, nhưng lúc đó chưa ai nhận ra đây là lỗ hổng bảo mật.

Cần làm gì?

Các bản vá đã có cho libbrotli, Python, Node.js, bun và Envoy. Các nhóm phát triển nên cập nhật ngay, hoặc tạm tắt giải mã Brotli nếu chưa có bản vá. Đây là lời nhắc quan trọng cho ngành công nghệ: ngay cả những thư viện nền tảng cũng cần được theo dõi thường xuyên.