V kompresní knihovně Brotli byla objevena kritická zranitelnost Broccoli2Shell (CVE-2026-111497, CVSS 9,2), která může útočníkovi umožnit vzdálené spuštění škodlivého kódu (RCE) bez nutnosti autentizace. Ke zneužití může stačit, aby zranitelná aplikace zpracovala speciálně upravená komprimovaná data připravená útočníkem. Zranitelnost je závažná zejména kvůli širokému využití algoritmu Brotli, který patří mezi standardně podporované kompresní algoritmy protokolu HTTP vedle gzip a zstd. Používají jej webové prohlížeče, servery i řada aplikací a technologií, například Node.js, Python nebo Bun. Identifikace všech zranitelných komponent může být obtížná, protože knihovna bývá součástí dalších softwarových balíčků nebo je přímo začleněna do spustitelných souborů aplikací. Zranitelnost se týká vybraných verzí knihovny Brotli od 1.0.3 do 1.2.0, přičemž dostupné opravené verze jsou 1.0.10, 1.1.1 a 1.2.1 v příslušných vývojových větvích. Správcům doporučujeme prověřit používané knihovny a závislosti aplikací, instalovat dostupné bezpečnostní aktualizace a v případě nemožnosti okamžité opravy omezit zpracování komprimovaných dat z nedůvěryhodných zdrojů. Více informací naleznete na stránce Broccoli2Shell.