Microsoft heeft urgente beveiligingsupdates uitgebracht voor .NET om een kritieke kwetsbaarheid aan te pakken, bekend als Broccoli2Shell, ook aangeduid als Node2Shell en HTTP2Shell.

Gevolgd onder CVE-2026-111497, ontstaat dit ernstige probleem door een fout in de Brotli-decoder, die data uitpakt die is gecomprimeerd met het veelgebruikte Brotli-algoritme van Google.

HTTP2Shell treft HTTP-clients en servers, evenals andere applicaties en tools die kwetsbare Brotli-implementaties gebruiken.

Bij succesvolle uitbuiting kunnen onbevoegde aanvallers een schadelijk gecreëerde Brotli-gecomprimeerde stroom gebruiken om crashes of geheugennaden te veroorzaken en in sommige gevallen zelfs op afstand code uit te voeren op apparaten met kwetsbare Brotli-bibliotheken.

Volgens een Microsoft-advies, uitgebracht op zondag, kunnen aanvallers deze fout ook misbruiken om op afstand privileges te verhogen op systemen met niet-gepatchte .NET-installaties die niet-standaard configuraties gebruiken.

“Applicaties kunnen worden beïnvloed als ze Brotli-gecomprimeerde data verwerken via ASP.NET Core-verzoekdecompressie, HttpClient automatische responsdecompressie of de System.IO.Compression Brotli API’s,” aldus Microsoft.

“Brotli-decompressie is standaard niet ingeschakeld in een standaard .NET- of ASP.NET Core-installatie. Applicaties moeten handmatig kiezen voor ASP.NET Core-verzoekdecompressie, HttpClient-response decompressie, of ze moeten de Brotli-decompressie-API’s van .NET handmatig aanroepen.”

Om dit probleem aan te pakken, heeft Microsoft buitengewone (OOB) beveiligingsupdates uitgebracht voor .NET 8, .NET 9 en .NET 10, samen met .NET 11 Release Candidate 3, en raadt aan “zo snel mogelijk te updaten.”

Hoewel er al proof-of-concept (PoC) exploits voor Broccoli2Shell op GitHub zijn gepubliceerd, zijn er nog geen meldingen van kwaadaardige uitbuiting in het wild.

Een speciale online portal die de kwetsbaarheid volgt, waarschuwt dat het updaten van de systeem-Brotli-bibliotheek het risico niet wegneemt in apps die hun eigen versie van de bibliotheek gebruiken.

Degenen die de updates niet meteen kunnen toepassen, wordt geadviseerd om inkomende Brotli-gecomprimeerde verzoeken te blokkeren met een proxy of firewall, of Brotli-decodering uit te schakelen totdat ze de patch kunnen toepassen.

Algemene preventiescores kunnen verbergen wat er gebeurt na de eerste toegang. Zodra aanvallers geldige inloggegevens gebruiken, daalt de preventie sterk.

Het Blue Report 2026 meet verdedigingstechnieken door middel van 338 miljoen simulaties in productomgevingen van klanten.

Verkrijg het rapport