A brecha foi classificada com gravidade de 9,2 em escala de dez e pode provocar corrupção de memória , vazamento de informações, interrupção de serviços e, em determinadas condições, execução remota de código. Esse último cenário permitiria que um invasor executasse comandos em um sistema vulnerável.

O problema, identificado pelo código CVE-2026-111497, também é conhecido como Node2Shell e Broccoli2Shell. Entre os softwares potencialmente afetados estão Node.js, aplicações .NET e pacotes de Python que utilizam versões vulneráveis do decodificador Brotli.

Segundo a TechRadar , empresas e projetos já começaram a distribuir correções. Até a publicação da reportagem, porém, não havia confirmação de que a vulnerabilidade estivesse sendo explorada em ataques maliciosos reais.

O problema levou diferentes projetos a disponibilizar atualizações de segurança. O Google corrigiu a biblioteca Brotli em 21 de outubro, com as versões 1.0.10, 1.1.1 e 1.2.1.

O Node.js também lançou correções na mesma data. A falha afeta as linhas 22.x, 24.x e 26.x do ambiente de execução, utilizado para executar código JavaScript fora dos navegadores.

No fim de semana, a Microsoft publicou uma atualização emergencial para o .NET. A empresa alertou que a exploração bem-sucedida poderia permitir a elevação de privilégios em sistemas vulneráveis.

Pacotes de Python que utilizam o decodificador também receberam correções em 23 de outubro.