يقول باحثون أمنيون في Aikido إن الثغرة التي كانت تُتابع أولاً تحت اسم Node2Shell تطورت إلى تهديد أوسع يسمونه الآن HTTP2Shell، محذّرين من أنها تطال مكتبات وتطبيقات كثيرة تستخدم HTTP مع تثبيت Brotli أو brotlicffi. الثغرة مُسجّلة تحت الرمز CVE-2026-111497، وتوصف بأنها مشكلة تنفيذ كود عن بُعد، وهي الفئة نفسها من الخلل التي جعلت PHP2Shell مدمّرة لخوادم الويب.
بحسب Aikido، لا يقتصر نطاق التأثير على Node.js. فأي مشروع يستدعي مكتبة ضغط Brotli عبر HTTP، بما في ذلك بيئات Python التي تستخدم brotlicffi، قد يكون معرّضاً. وتوجيه الشركة واضح: تحققوا من الإصدارات وانتقلوا إلى الإصدار المُصلَّح بمجرد توفره.
لماذا يتّسع نطاق تأثير HTTP2Shell؟
تغيير الاسم مهم. فاسم Node2Shell قدّم المشكلة على أنها خاصة بـ Node.js، ما دفع فرقاً كثيرة إلى تجاهلها إذا كانت تشغّل Python أو Go أو بنية مختلطة. أما HTTP2Shell فيعيد التأطير كمشكلة على مستوى البروتوكول: السطح المعرّض للخطر هو تعامل HTTP مع المحتوى المضغوط بـ Brotli، لا بيئة تشغيل واحدة بعينها.
يبرز تحذير Aikido أن التعرّض ينتشر عبر التبعيات لا عبر الكود الذي يكتبه المطورون بأنفسهم. وهذا ما يحوّل ثغرة واحدة إلى حدث في سلسلة التوريد: الإصلاح يصل عادةً أولاً إلى المنبع، ولا يبلغ التطبيقات إلا بعد أن ينشر المشرفون التحديثات وتُعيد الفرق البناء.
أي مكتبات وتطبيقات متأثرة؟
فئة المكوّنات المتأثرة ضيقة لكنها شائعة: المكتبات التي تفكّ تدفقات Brotli داخل مسار طلب HTTP، وارتباطات brotlicffi المستخدمة في بيئات Python. إذا كانت خدمتك تستقبل أجسام طلبات مضغوطة، أو تنهي HTTP لتطبيقات أخرى، أو تقف خلف وكيل يفعل ذلك، فهي على قائمة المراجعة.
لا يوجد سلسلة استغلال عامة مؤكدة في المصادر المتوفرة، لذا تعاملوا مع ادعاءات الخطورة بحذر. المؤكد هو المعرّف CVE-2026-111497، وزاوية التبعية على Brotli وbrotlicffi، وتعليمة Aikido بالترقية. والفرق التي سدّت الثغرة سابقاً لصالح Node2Shell لا ينبغي أن تفترض أنها باتت محمية.
- معرّف الثغرة: CVE-2026-111497
