מיקרוסופט שחררה עדכוני אבטחה דחופים מחוץ ללוח הזמנים הרגיל (Out-of-band) עבור סביבות פיתוח .NET, Visual Studio ו-PowerShell. התיקון הבהול נועד לטפל בחולשת אבטחה קריטית בספריית הכיווץ Brotli של גוגל, המקבלת את הציון 9.2 מתוך 10 במדד החומרה הבינלאומי. הפגיעות, שמסומנת כ-CVE-2026-111497 וזכתה גם לכינויים Node2Shell, HTTP2Shell ו-Broccoli2Shell, עשויה לאפשר לתוקפים ללא הרשאות לקרוא או להשחית זיכרון מערכת, מה שעלול להוביל לחשיפת מידע, למניעת שירות (DoS) או להעלאת הרשאות.
החולשה התגלתה לראשונה על ידי חוקרי האבטחה חי טראן (Khai Tran) וסילבי מאייר (Sylvie Mayer) מצוות Codex Security של OpenAI במהלך פעילות בדיקות חדירות. אף שמיקרוסופט מציינת כי עד כה לא נרשמו ניצולים של הפרצה בפועל, היא מגדירה את הסיכון ל-.NET ול-Visual Studio כקריטי, ומעריכה כי הסיכוי לניצול עתידי גבוה.
מנגנון החולשה: מתיקון תמים בפברואר לפרצה באוקטובר
מקור התקלה נעוץ במפענח בשפת C של ספריית Brotli, אשר מועתק כקוד מקור לתוך כלים ופלטפורמות רבות בתעשייה. על פי הניתוח הטכני, מפענח הזרמת הנתונים התייחס למצב של שינוי בלוק לא תקין כדרישה לקבלת קלט נוסף במקום להגדיר זאת כשגיאת פורמט. כתוצאה מכך, המפענח המשיך לשרשר בייטים של קלט לתוך חוצץ פנימי מוגבל של 8 בייטים בלבד, דבר שגרם לגלישת חוצץ (Buffer overflow).
למעשה, הסיבה השורשית לתקלה תוקנה בקוד המקור של Brotli עוד בחודש פברואר, אך באותו זמן לא זיהו המפתחים כי מדובר בחולשת אבטחה חמורה, ולא שוחררה גרסה חדשה.
"הסיבה השורשית לתקלה בעצם תוקנה בקוד המקור של Brotli עוד בפברואר, אך בזמנו לא היה ידוע כי היא יוצרת חולשת אבטחה ולא שוחררה גרסה חדשה יותר של Brotli", ציינו ב-OpenAI.
רק בחודש אוקטובר שוחררו גרסאות מתוקנות של גוגל ושל Node.js, בעקבותיהן החלו חברות טכנולוגיה נוספות להטמיע את התיקונים. החולשה משפיעה על גרסאות Brotli מ-1.0.3 ועד 1.2.0, והיא תוקנה בגרסאות 1.0.10, 1.1.1 ו-1.2.1.
ההשפעה על סביבות .NET ומוצרי מיקרוסופט
מיקרוסופט פועלת במהירות כדי לסגור את הפרצה בגרסאות הנתמכות של סביבת הפיתוח שלה. התיקון שפורסם מכסה את הרכיבים הבאים:
- .NET 8, .NET 9 ו-.NET 10
- .NET 11 Release Candidate 3
- גרסאות מתאימות של Visual Studio ושל PowerShell (עבורה מוגדרת החולשה בדרגת חומרה "חשובה")
בחברה מדגישים כי סביבת .NET אינה מפעילה פריסת Brotli כברירת מחדל, וכי גרסאות .NET Framework הוותיקות אינן מושפעות מהחולשה כלל. התיקון הנוכחי כולל גם השלמה לשני תיקוני אבטחה מיום שלישי של התיקונים (Patch Tuesday) בחודש אוקטובר, שלא נתנו מענה מלא בגלגולם הראשון.
כדי לנסות לנצל את החולשה, תוקף זקוק לכך שהאפליקציה תפרוס נתונים זדוניים. הדבר יכול להתרחש בעת קבלת תשובה דחוסה משרת שהאפליקציה פונה אליו, או באמצעות שליחת בקשה דחוסה ומזויפת ישירות אל השרת המארח.
היקף החשיפה בענן ועיכובי התיקון בתוכנות
על פי נתונים שפרסמה חברת אבטחת הענן Wiz, מדובר באירוע בעל היקף נרחב במיוחד: 91% מסביבות הענן מכילות משאבים הפגיעים לחולשה זו, וב-82% מהן קיימים מופעים של Node.js החשופים לרשת הציבורית. במקביל, חברת JFrog זיהתה כי ספריית Brotli הוטמעה גם בפרויקטים פופולריים נוספים כמו FFmpeg, ClickHouse ו-Apache Arrow, שחלקם עלולים להיות מותקפים אפילו באמצעות טעינת קובץ נגוע ולא רק דרך בקשת רשת.
מנגד, מומחי אבטחה מחברות שונות מבהירים כי ניצול הפרצה לצורך הרצת קוד מרחוק אינו פשוט כלל. ניסיונות מעשיים שביצעה Imperva על גבי תמונות Linux הראו כי ההתקפה אינה עובדת באופן עקבי, וחוקרים בחברות Sysdig ו-Brandefense ציינו כי קוד הוכחת היתכנות (PoC) הקיים ברשת פועל רק מול גרסאות שסורסו במכוון, או שהוא גורם לקריסת התוכנה בלבד.
| כלי / ספרייה | סטטוס תיקון | הערות נוספות |
|---|---|---|
| .NET / Visual Studio | שוחרר תיקון חירום | זמין לגרסאות 8, 9, 10 ו-11 RC3 |
| Node.js, Bun | שוחרר תיקון | תוקן החל מ-21 באוקטובר |
| Envoy, Istio | שוחרר תיקון | רכיבי תקשורת ופרוקסי |
| Python (Brotli / brotlicffi) | שוחרר תיקון | חבילות כיווץ רשמיות |
| DuckDB, 7-Zip-zstd, EDK II | טרם תוקן | מופיעים במעקב הציבורי כפגיעים |
למה זה חשוב לך
עבור צוותי פיתוח, תשתיות ואבטחת מידע, הופעת החולשה בספריית תשתית נפוצה כמו Brotli דורשת פעולה אקטיבית מעבר לעדכון שגרתי של מערכת ההפעלה. מאחר שאפליקציות וכלים רבים כוללים עותק פנימי עצמאי של קוד Brotli, עדכון הספרייה ברמת מערכת ההפעלה בלבד אינו מגן על היישומים. כדי לאבטח את המערכות באופן מלא, על המפתחים לעדכן את תלויות הקוד של הפרויקטים, לבנות מחדש את תמונות הקונטיינרים (Container images) ולבצע אתחול לשירותים הפעילים, שכן תהליכים הרצים ברקע ממשיכים להחזיק בקוד הישן והפגיע בזיכרון.
קראו גם: שמועות על רכישת פיירבלוקס בידי ויזה ב-2.5 מיליארד דולר · חולשת אבטחה ב-Electrum איפשרה לשרתים זדוניים לגנוב ביטקוין
התוכן בכתבה זו נועד לספק סקירה כללית בלבד ואינו מהווה תחליף לייעוץ מקצועי פרטני. המערכת אינה אחראית לכל נזק או הפסד שייגרם כתוצאה מהסתמכות על המידע המוצג.
