Google'ın Brotli sıkıştırma kütüphanesindeki CVE-2026-111497 açığı, Node.js'ten .NET'e kadar geniş bir ürün yelpazesini etkiliyor ve CISA'nın istismar edilen açıklar kataloğuna girdi.
Google'ın geliştirdiği Brotli sıkıştırma kütüphanesinin çözücü bileşeninde bulunan kritik bir güvenlik açığı, 21 Ekim 2026'da Node.js ekibi tarafından kamuya duyuruldu. CVE-2026-111497 numaralı açık, araştırmacılar arasında "Brotli2Shell", "Node2Shell" ve "Broccoli2Shell" adlarıyla anılıyor.
Açık, sınır dışı yazma (out-of-bounds write) tipinde. Bir uygulama, saldırganın hazırladığı Brotli ile sıkıştırılmış veriyi açtığında işlem belleği sızabiliyor, süreç çökebiliyor veya uygulamanın yetkileriyle uzaktan kod çalıştırılabiliyor. Google, CVE kayıt otoritesi sıfatıyla açığa CVSS v4.0 ölçeğinde 9,2 puan verdi; Microsoft ise .NET tarafındaki etkiyi CVSS v3.1'de 8,1 olarak derecelendirdi (Tenable).
Neden bu kadar geniş bir alanı etkiliyor?
Brotli, modern web'in görünmeyen altyapı parçalarından biri. HTTP yanıtlarını sıkıştırmak için kullanıldığından çok sayıda çalışma zamanı ve kütüphane onu kendi içinde taşıyor. Yama yayımlayan ürünler arasında Node.js (22.23.4, 24.22.1, 26.12.1), Microsoft .NET 8/9/10/11, Bun, Envoy Proxy, Istio, Python'ın Brotli ve brotlicffi paketleri ile Windows için PHP derlemeleri yer alıyor. Node.js'in destek süresi dolmuş 20, 23 ve 25 sürümleri için ise yama çıkmayacak.
Bulut güvenliği şirketi Wiz'in taramasına göre incelenen bulut ortamlarının %91'inde bu açıktan etkilenen en az bir kaynak bulunuyor. ABD siber güvenlik ajansı CISA, açığı 27 Ekim 2026'da "bilinen istismar edilen açıklar" (KEV) kataloğuna ekledi ve federal kurumlar için son yama tarihini 10 Kasım olarak belirledi. Singapur Siber Güvenlik Ajansı da 30 Ekim'de acil yama uyarısı yayımladı.
İstismarın ne kadar kolay olduğu konusunda ise temkinli olmak gerekiyor. Tenable'ın aktardığına göre tehdit istihbaratı firması ELLIO, 26 Ekim'de Node.js 24.22.0 sürümünü hedefleyen bir istismar denemesi gözlemledi; ancak laboratuvar denemelerinin çoğu kabuk erişimi yerine işçi sürecinin çökmesiyle sonuçlandı. Buna karşılık GitHub üzerinde kamuya açık kavram kanıtı kodları dolaşıyor, yani zaman kazanmak için beklemek doğru bir strateji değil.
Türkiye'deki KOBİ'ler için ne anlama geliyor?
Bu açık büyük olasılıkla sizin yazdığınız kodda değil. Asıl risk, kullandığınız hazır ürünlerin içinde taşınıyor: e-ticaret altyapınız, ERP veya ön muhasebe uygulamanızın web katmanı, müşteri portalınız, API ağ geçidiniz, hatta tedarikçinizin sizin için kurduğu uygulama. Sunucu yönetimini dışarıdan alan bir inşaat ofisi, acente ya da lojistik firması için sorulması gereken soru net: internete açık hangi uygulamalarım Node.js veya .NET üzerinde çalışıyor ve hangi sürümdeler?
İkinci kritik nokta: yamayı kurmak tek başına yetmiyor. Düzeltme ancak süreç yeniden başlatıldığında devreye giriyor. Konteyner kullanan ortamlarda imajın yeniden derlenip dağıtılması gerekiyor. Kendi içinde Brotli kopyası taşıyan uygulamalar da ayrı ayrı güncellenmek zorunda.
Kamer Bilişim olarak ne öneriyoruz?
- İnternete açık yüzeyden başlayarak envanter çıkarın. Web sunucularınızda, API uç noktalarınızda ve müşteri portallarınızda hangi Node.js ve .NET sürümlerinin çalıştığını listeleyin. Sürümü bilinmeyen sistem, yamalanamayan sistemdir.
- Yamayı kurun ve servisi gerçekten yeniden başlatın. Node.js'i 22.23.4, 24.22.1 veya 26.12.1'e, .NET'i 8.0.33, 9.0.22 ya da 10.0.14'e yükseltin; ardından uygulama sürecini yeniden başlatıp yamalı bileşenin yüklendiğini doğrulayın. Konteyner ortamında imajı yeniden oluşturun.
- Yama bekleyen sistemlerde geçici önlem alın. Ters vekil sunucu veya yük dengeleyici üzerinde Content-Encoding: br başlığı taşıyan istekleri reddedin, HTTP istemcilerinde Brotli çözmeyi kapatın. Bunlar yamanın yerine geçmez, yalnızca pencereyi daraltır.
Sunucu envanterinizi çıkarmak, yama planını takvime bağlamak veya internete açık servislerinizi gözden geçirmek için iletişim sayfamız üzerinden bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz.
Kaynak: Tenable Research — "Brotli2Shell: Frequently Asked Questions for Google Brotli Decoder (CVE-2026-111497)"; Singapur Siber Güvenlik Ajansı (CSA) AL-2026-154; Wiz güvenlik bülteni; CISA Known Exploited Vulnerabilities kataloğu.
Kaynak: Tenable Research