Brotli Açığı HTTP2Shell: Node.js ve .NET Sunucuları Tehlikede

8 baytlık bellek taşması HTTP2Shell açığını nasıl doğurdu?

Sorun, Brotli'nin veri akışını çözen kod bloğundaki küçük bir mantık hatasından kaynaklanıyor. Kod çözücü, geçersiz bir blok geçişiyle karşılaştığında bunu kalıcı bir biçimlendirme hatası sayıp durmak yerine, fazladan veri gelmesi gerektiği şeklinde yorumladı.

Bu yanlış yorumlama yüzünden motor, gelen yeni baytları sadece sekiz bayt genişliğindeki dahili bir arabelleğe yazmaya devam etti. Bellek sınırlarının dışına taşan bu yazma işlemi, çalışan sürecin belleğini bozuyor. Sistemin mimarisine ve derleyici ayarlarına bağlı olarak saldırganlar, özel hazırlanmış sıkıştırılmış paketlerle servisi çökertebiliyor, bellek verilerini sızdırabiliyor ya da doğrudan uzaktan kod çalıştırabiliyor.

CVE-2026-111497 (HTTP2Shell) teknik detayları ve yama durumu

Etki alanı ne kadar geniş: Node.js, .NET ve Python

Brotli günümüz internet trafiğinde neredeyse standart kabul edildiği için bu risk sunucu altyapılarının en derin katmanlarına kadar iniyor. Yaşanan kriz, son dönemde PHP ekosistemindeki acil yama tartışmasını hatırlatan bir panik havası yarattı.

Google, sorunu gidermek adına 21 Ekim'de Brotli 1.0.10, 1.1.1 ve 1.2.1 sürümlerini yayımladı. Ancak işletim sistemindeki temel C kütüphanesini güncellemek sunucuyu kurtarmaya yetmiyor. Kendi Brotli motorunu içinde barındıran Node.js (node:zlib modülü üzerinden), Microsoft .NET ve Envoy gibi popüler ters vekillerin kendi güvenlik güncellemelerini alması şart.

Gelişmeleri takip eden Broccoli2Shell platformu, açığın duyurulmasından sonraki 24 saat içinde GitHub'da çalışan PoC kodlarının yayımlandığını doğruladı. Mevcut PoC kodları şimdilik yalnızca korumaları zayıflatılmış test ortamlarında tam yetki sağlayabiliyor; ancak standart üretim sunucularında bile servisi anında çökertip hizmet dışı bırakabiliyor.

İşletim sistemi güncellemesi tek başına neden yetersiz?

Sunucu işletim sisteminde sıradan bir paket güncellemesi çalıştırmak, konteyner katmanları veya kütüphaneyi içine gömmüş bağımsız ikili dosyalar yenilenmediği sürece sistemi korumasız bırakır.

Üretim ortamındaki servisleri anında yeniden başlatamayan veya konteyner derleyemeyen ekiplerin, gelen trafik kapılarında geçici önlemler alması tavsiye ediliyor.

• Konteyner imajlarını güncel taban paketlerle yeniden derleyin ve çalışan servis süreçlerini baştan başlatın.
• Yük dengeleyiciler ve WAF kuralları üzerinden, gövdesinde Brotli sıkıştırması taşıyan şüpheli gelen istekleri geçici olarak engelleyin.
• Python tarafında brotlicffi paketini kaldırarak ya da httpx[brotli] benzeri ek modülleri devreden çıkararak harici çözücülere olan bağımlılığı geçici olarak sıfırlayın.

Türkiye'deki sunucular ve yazılım ekipleri için durum ne?

Türkiye'de özellikle e-ticaret, fintech ve SaaS sektörlerinde Node.js ile .NET tabanlı mikroservis mimarileri son derece yaygın biçimde kullanılıyor. İşletim sistemi güncellemeleri dünya genelinde olduğu gibi Türkiye'deki bulut ve yerel veri merkezlerinde de erişilebilir durumda. Node.js yamaları 21 Ekim'de, Microsoft'un .NET düzeltmeleri ise takip eden hafta sonunda yayımlandı.

Yurt içi altyapılarda çalışan DevOps ve sistem yöneticilerinin yalnızca Linux dağıtımını güncellemekle yetinmemesi gerekiyor. Docker imajları içinde Brotli barındıran Node.js ve .NET mikroservislerinin taban imajları yenilenip baştan derlenmedikçe, Türkiye'deki sunucular da internetten gelebilecek bellek bozma saldırılarına karşı açık kalacaktır.