SİBER GÜVENLİK· 1 dk okuma
Brotli açığı sadece Node'da kalmadı
Brotli kod çözücüsündeki bellek bozulması açığı (CVE-2026-111497, CVSS 9.2) yalnızca Node.js'i değil, aynı kodu kullanan Bun, Python Brotli ve Envoy'u da etkiliyor. Node 21 Ekim'de yamalandı; Aikido'ya göre diğerleri hala risk altında.
// kısaca
- Etkilenenler: Node.js, Bun, Python Brotli, Envoy
- Node 21 Ekim'de yamalandı
- Python'da Brotli kuruluysa requests, httpx ve aiohttp onu otomatik kullanıyor
Python tarafı fark edilmeden etkilenebilecek kısım: Brotli kurulu ortamda HTTP kütüphaneleri onu kendiliğinden devreye alıyor. "Ben Node kullanmıyorum" demek yetmez.
Ne yapmalı?
Bun 1.4.4 ve Python Brotli 1.2.1 sürümüne güncelle. Envoy kullanıyorsan yayıncının yama duyurusunu kontrol et. pip freeze ile ortamında Brotli var mı bak.
// kaynaklar
- Python packages vulnerable: Node2Shell Brotli CVE-2026-111497 · Aikido ↗
- Brotli · Patch the Planet ↗
Bu haber yukarıdaki kaynaklardan derlenmiş kısa bir özettir. Ayrıntı ve güncellemeler için kaynaklara bak.