HTTP2Shell : la faille Brotli frappe les bibliothèques HTTP Node et Python

Des chercheurs en sécurité d'Aikido affirment que la faille d'abord suivie sous le nom Node2Shell a évolué en une menace plus large qu'ils appellent désormais HTTP2Shell, avertissant qu'elle touche de nombreuses bibliothèques et applications utilisant HTTP avec Brotli ou brotlicffi installé. Le bug est référencé CVE-2026-111497 et décrit comme une faille d'exécution de code à distance, la même catégorie de défaut qui a rendu PHP2Shell si destructrice pour les serveurs web.

Selon Aikido, le rayon d'impact ne se limite pas à Node.js. Tout projet intégrant une bibliothèque de compression Brotli via HTTP — y compris les piles Python utilisant brotlicffi — peut être exposé. La consigne de l'entreprise est sans détour : vérifiez vos versions et migrez vers le correctif dès qu'il est disponible.

Le changement de nom compte. Node2Shell présentait le problème comme propre à Node.js, ce qui a poussé beaucoup d'équipes à l'écarter si elles tournaient sous Python, Go ou une pile mixte. HTTP2Shell le reformule comme un problème au niveau du protocole : la surface vulnérable est la gestion HTTP des contenus compressés en Brotli, et non un seul environnement d'exécution.

L'avis d'Aikido souligne que l'exposition se propage par les dépendances plutôt que par le code écrit par les développeurs eux-mêmes. C'est ce qui transforme une seule CVE en événement de chaîne d'approvisionnement : le correctif arrive généralement d'abord en amont, et n'atteint les applications qu'après la publication des mises à jour par les mainteneurs et la reconstruction par les équipes.

La classe de composants concernée est étroite mais courante : les bibliothèques qui décodent les flux Brotli dans le chemin d'une requête HTTP, et les liaisons brotlicffi utilisées dans les environnements Python. Si votre service accepte des corps de requête compressés, termine HTTP pour d'autres applications, ou se trouve derrière un proxy qui le fait, il figure sur la liste à examiner.