CVE-2026-111497 ที่ถูกตั้งฉายาว่า "Broccoli2Shell" หรือ "Node2Shell" เป็นช่องโหว่ระดับ critical ในตัวถอดบีบอัด (decoder) ของ Brotli ไลบรารีบีบอัดข้อมูลโอเพนซอร์สของ Google ที่ถูกฝังอยู่ในซอฟต์แวร์จำนวนมาก CISA (หน่วยงานความมั่นคงไซเบอร์สหรัฐฯ) เพิ่มช่องโหว่นี้เข้า Known Exploited Vulnerabilities (รายชื่อช่องโหว่ที่มีหลักฐานถูกโจมตีจริง) เมื่อ 27 ตุลาคม 2026 และศูนย์ความมั่นคงไซเบอร์ของแคนาดาออกประกาศ AL26-027 ตามมาในวันที่ 28 ตุลาคม
เกิดอะไรขึ้น
ช่องโหว่เป็นแบบ out-of-bounds write (เขียนข้อมูลเกินขอบเขตหน่วยความจำ) ผู้โจมตีส่งข้อมูลที่บีบอัดแบบ Brotli ที่ปั้นมาเป็นพิเศษ โดย ไม่ต้องยืนยันตัวตน เมื่อแอปถอดบีบอัดข้อมูลนั้น อาจทำให้โปรเซสล่ม ข้อมูลในหน่วยความจำรั่ว หรือ รันโค้ดของผู้โจมตีได้
- เวอร์ชันที่ได้รับผลกระทบ: Brotli 1.0.3 ถึงก่อน 1.0.10, 1.1.0 ถึงก่อน 1.1.1 และ 1.2.0 ถึงก่อน 1.2.1
- เวอร์ชันที่แก้แล้ว: 1.0.10, 1.1.1, 1.2.1
- Node.js สาย 26, 24, 22 แก้แล้วในเวอร์ชัน 26.12.1, 24.22.1 และ 22.23.4 ส่วนสาย 20, 23, 25 ที่หมดอายุการดูแลแล้ว จะไม่ได้รับแพตช์
- ซอฟต์แวร์อื่นที่ถูกระบุ: .NET, PowerShell, Bun, Envoy Proxy, Istio, แพ็กเกจ Python Brotli/brotlicffi และ Help Net Security อ้าง Tenable ว่ากระทบ FFmpeg, Apache Arrow, ClickHouse ด้วย
- Siemens ออกประกาศ SSA-443410 ว่ากระทบผลิตภัณฑ์จัดการ Industrial Edge (CVSS 9.8) ฝั่งคลาวด์แก้ให้แล้ว แต่ระบบที่ติดตั้งเองยังต้องแก้ตามคำแนะนำรายผลิตภัณฑ์
มีโค้ดสาธิตการโจมตีเผยแพร่บน GitHub แล้ว และ Imperva สาธิตการรันโค้ดบนอิมเมจ Node.js 24.22.0 สำหรับ Linux arm64 ได้สำเร็จหลังลองหลายครั้ง
โค้ดแก้ถูก commit เข้า Brotli ตั้งแต่ 27 กุมภาพันธ์ 2026 แต่ไม่มีการออกเวอร์ชันหรือประกาศ จนถึงสัปดาห์ก่อนข่าวเผยแพร่ แปลว่าการ "อัปเดตตามรุ่น release" อย่างเดียวไม่พอสำหรับไลบรารีที่ฝังลึกแบบนี้
สำหรับคนออกแบบ IoT product
ประกาศจากหน่วยงานไม่ได้พูดถึงเฟิร์มแวร์ MCU โดยตรง แต่ IoT product ส่วนใหญ่มี backend ที่เขียนด้วย Node.js หรือ Python, เกตเวย์ Linux ที่รัน Envoy หรือคอนเทนเนอร์ และบางทีมใช้ Brotli บีบอัดไฟล์ OTA (อัปเดตเฟิร์มแวร์ผ่านอากาศ) ทั้งหมดนี้คือจุดที่ต้องไล่เช็ก จุดเสี่ยงจริงคือที่ไหนก็ตามที่ถอดบีบอัดข้อมูลที่คนนอกส่งมาได้ เช่น API ที่รับ HTTP แบบบีบอัด ข่าวนี้เป็นเหตุผลที่ดีที่จะทำ SBOM (รายการซอฟต์แวร์และไลบรารีทั้งหมดในผลิตภัณฑ์) ซึ่งกฎอย่าง EU Cyber Resilience Act ก็กำลังบังคับอยู่แล้ว และควรวางแผนให้เกตเวย์ที่ขายไปแล้ว อัปเดตได้จริง ไม่ใช่ติดอยู่กับ Node.js รุ่นที่หมดอายุ
ค้นหาใน lockfile และอิมเมจคอนเทนเนอร์ทุกตัวว่ามี brotli, brotlicffi หรือ Node.js รุ่นเก่าหรือไม่ อัปเดตแล้ว build อิมเมจใหม่และรีสตาร์ตบริการ ถ้ายังแพตช์ไม่ได้ ให้ปิดการรับข้อมูลบีบอัด Brotli จากแหล่งที่ไม่น่าเชื่อถือไว้ก่อน
ช่องโหว่ Brotli ถูกโจมตีจริงแล้วและซ่อนอยู่ในซอฟต์แวร์หลายชั้น ทีม IoT ควรไล่เช็ก backend เกตเวย์ และไฟล์ OTA วันนี้ และใช้โอกาสนี้ทำ SBOM ให้ครบ
อ่านซีรีส์ ออกแบบ IoT Product ตั้งแต่ศูนย์จนขายได้