Google Brotli'deki CVE-2026-111497 tampon taşması CISA'nın aktif istismar listesinde. Etkilenen sürümleri, düzeltmeyi ve kontrol yolunu anlatıyoruz.
Brotli, Google’ın geliştirdiği bir sıkıştırma kütüphanesi. Web sunucularından tarayıcılara, dil çalışma zamanlarından paketlere kadar birçok yazılımın içine gömülü geliyor. Bu yüzden Brotli’deki bir açık tek bir programı değil, o kütüphaneyi kullanan bütün zinciri ilgilendirir. CVE-2026-111497 tam olarak böyle bir açık ve CISA onu aktif istismar listesine eklemiş durumda.
Kısa cevap: CVE-2026-111497, Google Brotli kütüphanesinin kod çözücüsündeki, CVSS puanı 9.2 ile kritik seviyede bir tampon taşması açığı. NVD’ye göre 1.0.3 ile 1.2.0 arasındaki sürümler etkileniyor; düzeltilen sürümler 1.0.10, 1.1.1 ve 1.2.1. CISA bu açığı 27 Ekim 2026’da KEV listesine ekledi ve son tarihi 10 Kasım 2026. Brotli’yi kullanan her sistemi, yani kendi kodunu, paketlerini ve çalışma zamanlarını kontrol edip güncelle.
Ne oldu?
Açık, Brotli kod çözücüsünde (c/dec/decode.c dosyası) bir tampon taşması. Saldırgan özel hazırlanmış bir Brotli sıkıştırılmış veri gönderdiğinde, çözücünün yanındaki bellek bozulabiliyor. NVD açıklamasına göre bu saldırı uzaktan ve kimlik doğrulama olmadan yapılabiliyor. Sonuçları arasında bellek içeriğinin sızması, hizmetin çökmesi ve teoride kod çalıştırma var.
Zayıflık türü CWE-252, yani bir işlemin döndürdüğü sonucun kontrol edilmemesi. NVD ve GitHub danışmanlığı bu sınıflandırmayı kullanıyor. CISA’nın KEV kaydı ise ayrıca CWE-787 (belleğin sınırlarının dışına yazma) listeliyor. Açıklamadaki “tampon taşması” ifadesi de ikinci sınıfla uyumlu. Kaynaklar sınıflandırmada tam olarak aynı değil; bunu bilmek yeterli.
CISA bu açığı 27 Ekim 2026’da aktif istismar listesine (KEV) ekledi. KEV’e eklenmek, açığın saldırılarda kullanıldığının CISA tarafından doğrulandığı anlamına geliyor. KEV kaydında fidye yazılımı kampanyalarında kullanımı “Unknown” olarak işaretli, yani bilinmiyor. Açık 2026 yılında ve 22 Ekim 2026’da yayımlandığı için eski bir açık değil.
Node.js ve .NET de kendi güvenlik bültenlerinde aynı CVE’yi yayımladı. Bu, açığın tek bir ürüne değil, Brotli’yi kullanan yazılım zincirine yayıldığını gösteriyor.
Kimler etkileniyor?
| Özellik | Bilgi |
|---|---|
| CVE kimliği | CVE-2026-111497 |
| Ürün | Google Brotli (C kütüphanesi) |
| CVSS puanı | 9.2 (CVSS 4.0, NVD) |
| Önem derecesi | Kritik |
| Zayıflık türü (CWE) | CWE-252 (NVD, GitHub); KEV ayrıca CWE-787 |
| Yayın tarihi | 22 Ekim 2026 |
| CISA KEV’e eklenme | 27 Ekim 2026 |
| CISA son tarihi | 10 Kasım 2026 |
| Etkilenen Brotli sürümleri | 1.0.3 ile 1.2.0 arası (dahil) |
| Düzeltilen Brotli sürümleri | 1.0.10, 1.1.1, 1.2.1 |
| PyPI brotli | 1.0.3 ile 1.2.1 öncesi etkilenir; 1.2.1 düzeltilmiş |
| PyPI brotlicffi | 1.0.3 ile 1.2.1.0 öncesi etkilenir; 1.2.1.0 düzeltilmiş |
| Node.js | 22.x, 24.x, 26.x hatları etkilenen; 22.23.4, 24.22.1, 26.12.1 sürümleri yayımlandı |
| .NET | 8.0.33, 9.0.22 ve 10.0.14 öncesi etkilenir; bu sürümler düzeltilmiş |
Node.js bülteni hangi sürümün bu düzeltmeyi içerdiğini açıkça eşlemiyor, bu yüzden bülteni kendin doğrula. .NET’in bülteninde CVSS 3.1 ile 8.1 (Yüksek) olarak geçiyor; NVD’nin 9.2’si CVSS 4.0 ölçeğinden geliyor. İki puan da aynı açığa ait, sadece farklı ölçeklerden geliyor.
Dağıtımlar (Debian, Ubuntu, RHEL gibi) yamayı paket sürüm numarasını değiştirmeden geri taşıyabilir. Paket sürümü 1.0.10’dan büyük görünse bile dağıtımın güvenlik bülteninden kontrol etmek gerekir.
Ne yapmalısın?
- Brotli kullanımını bul. Kendi kodunda, kullandığın paketlerde ve çalışma zamanlarında Brotli olup olmadığına bak. Çoğu zaman doğrudan eklemediğin bir bağımlılığın içinde gelir. Sunucunun genel durumunu görmek için Linux sunucuda ilk 30 dakika yazısına da bakabilirsin.
- Sürümünü kontrol et.
- Debian/Ubuntu:
dpkg -l | grep -i brotli - RHEL ve türevleri:
rpm -qa | grep -i brotli - Python:
pip show brotlivepip show brotlicffi - Node.js:
node -vçıktısını yukarıdaki hatlarla karşılaştır - .NET:
dotnet --list-runtimes
- Debian/Ubuntu:
- Güncelle. Brotli’yi kendin derlediysen ya da bir projeye kopyaladıysan 1.0.10, 1.1.1 veya 1.2.1 sürümüne geç. Dağıtım veya çalışma zamanı paketi kullanıyorsan, sağlayıcının bülteninde düzeltmenin yer aldığını doğrula.
- Geçici çözüm. Kaynaklarda doğrulanmış bir geçici çözüm yok. NVD ve ilgili üretici bültenlerinde ek bir adım olup olmadığına bak.
- Hemen güncelleyemiyorsan. CISA’nın KEV kaydındaki yönergeye göre uygun önlem yoksa ürünün kullanımını bırakmayı değerlendir. Son tarih 10 Kasım 2026, planını buna göre yap.
- Şüphede. Olağandışı bir davranış görürsen sistem yöneticini ve sağlayıcını hemen haberdar et. İzleri kendi başına silmeye çalışma; önce kanıtı koru.
Sık sorulan sorular
Beni etkiliyor mu?
Brotli’yi doğrudan kurmamış olsan bile, kullandığın bir yazılım onu kendi içinde taşıyor olabilir. Yukarıdaki sürüm kontrollerini tek tek yap. Node.js veya .NET kullanıyorsan ilgili güvenlik bültenine de bak.
CVSS 9.2 ile .NET bülteninin 8.1 puanı neden farklı?
İki kaynak farklı puanlama ölçeği kullanıyor. NVD CVSS 4.0 ile 9.2, .NET bülteni CVSS 3.1 ile 8.1 veriyor. İkisi de yüksek ve üzeri bir seviye gösteriyor, bu yüzden önceliği düşürmek için bir neden yok.
Hemen güncelleyemezsem ne yapmalıyım?
KEV kaydındaki yönerge, uygun önlem yoksa ürünün kullanımını bırakmayı değerlendirmeyi öneriyor. Güncelleme planını 10 Kasım 2026 son tarihine göre yap ve sağlayıcınla birlikte hareket et.
Bu yazı 6 Kasım 2026’da CISA ve NVD kayıtlarına göre hazırlandı; yeni bilgi çıkarsa güncellenecek. Sunucu ve uygulama güncellemesi ile güvenlik bakımı için teklif formu üzerinden bana ulaşabilirsin.