Sadeem IT Solutions
27. Okt. 2026

Brotli-Lücke weitet sich aus: Jetzt sind auch .NET und Python betroffen

Die kritische Brotli-Lücke CVE-2026-111497 betrifft nicht nur Node.js, sondern auch .NET und viele Python-Anwendungen. Microsoft hat Notfall-Updates veröffentlicht – so prüfen und schützen Sie Ihre Systeme.

brotli-luecke-dotnet-python-cve-2026-111497

Vor wenigen Tagen haben wir über Node2Shell berichtet, eine kritische Lücke im Brotli-Decoder von Node.js. Inzwischen ist klar: Das Problem ist größer. Die Schwachstelle CVE-2026-111497 steckt in der weit verbreiteten Kompressionsbibliothek Brotli von Google und damit auch in .NET und in vielen Python-Anwendungen. Microsoft hat am 25. Oktober außerplanmäßige Sicherheitsupdates für .NET veröffentlicht, für Python stehen korrigierte Pakete bereit. Wer Anwendungen mit .NET oder Python betreibt, sollte jetzt prüfen und aktualisieren.

Was ist passiert

Brotli ist ein Verfahren, mit dem Webserver und Anwendungen Daten komprimieren. Im Decoder, also beim Entpacken, schreibt die Bibliothek bei manipulierten Daten über das Ende eines Speicherbereichs hinaus. Ein Angreifer kann so ohne Anmeldung Speicherinhalte auslesen, Programme zum Absturz bringen und unter Umständen eigenen Code ausführen.

Betroffen sind die Brotli-Versionen 1.0.3 bis 1.2.0. Behoben ist der Fehler in 1.0.10, 1.1.1 und 1.2.1. Google bewertet die Lücke mit CVSS 9.2 (CVSS 4.0, „kritisch“). Microsoft stuft die .NET-Variante laut Berichten mit 8.1 („hoch“) ein, weil Brotli dort nicht standardmäßig aktiv ist. Für Node.js, .NET und Python sind Proof-of-Concept-Exploits öffentlich. Angriffe in freier Wildbahn waren bis zum 26. Oktober nicht bekannt.

Zeitlicher Ablauf:

  • 21. Oktober: Node.js veröffentlicht Sicherheitsupdates.
  • 22. Oktober: Die Lücke wird öffentlich, erste Exploits erscheinen.
  • 23. Oktober: Korrigierte Python-Pakete erscheinen auf PyPI.
  • 25. Oktober: Microsoft liefert Notfall-Updates für .NET 8, 9, 10 und 11.

Wer ist betroffen

.NET: Gefährdet sind Anwendungen, die Brotli-Daten entpacken. Das passiert über die Request-Dekompression in ASP.NET Core, die automatische Dekompression von Antworten im HttpClient oder direkt über die Brotli-Klassen in System.IO.Compression. Die ersten beiden Funktionen sind nicht von Haus aus eingeschaltet, werden in der Praxis aber häufig aktiviert. Das klassische .NET Framework ist nicht betroffen.

Python: Hier ist die Lage tückischer. Die beliebten Bibliotheken urllib3 und damit requests sowie httpx und aiohttp entpacken Brotli-Antworten automatisch, sobald das Paket Brotli oder brotlicffi installiert ist. Ihr eigener Code muss Brotli dafür nicht einmal verwenden. Es genügt, dass ein anderes Paket es als Abhängigkeit mitgebracht hat. Ein präparierter oder gehackter Server kann Ihre Anwendung dann über seine Antwort angreifen, etwa beim Abruf von Schnittstellen, Webhooks oder Dateien.

Weitere Software: Brotli steckt auch in Linux-Distributionen (Debian und Ubuntu haben bereits Updates veröffentlicht), in Bun, in Git für Windows und in vielen anderen Programmen. Git für Windows bringt den Fix ab Version 2.56.0.windows.4 mit.

Was Sie jetzt tun sollten

  1. .NET aktualisieren auf 8.0.33, 9.0.22 oder 10.0.14 bzw. .NET 11 RC 3. Mit dotnet --list-runtimes sehen Sie, welche Laufzeiten installiert sind.
  2. Self-contained-Anwendungen neu bauen. Bringt eine Anwendung ihre eigene .NET-Laufzeit mit, hilft ein Update auf dem Server nicht. Sie muss neu gebaut und ausgeliefert werden.
  3. Container neu bauen. Docker-Images auf Basis aktueller .NET- oder Python-Images neu erstellen und ausrollen. Fest gepinnte Versionen anheben.
  4. Python-Umgebungen prüfen: pip show Brotli brotlicffi zeigt, ob die Pakete installiert sind. Aktualisieren Sie auf Brotli 1.2.1 bzw. brotlicffi 1.2.1.0 und erneuern Sie die Lock-Dateien (Poetry, uv, Pipenv). Werkzeuge wie pip-audit erkennen die Lücke bereits.
  5. Linux-Server patchen: Die Brotli-Pakete der Distribution aktualisieren und betroffene Dienste neu starten.
  6. Priorisieren: Zuerst Anwendungen, die aus dem Internet erreichbar sind oder Daten von fremden Servern abrufen.
  7. Supportende im Blick behalten: .NET 8 und .NET 9 bekommen nach dem 10. November 2026 keine Updates mehr. Nutzen Sie die Gelegenheit, den Umstieg auf .NET 10 einzuplanen. Mehr dazu in unserem Beitrag zum Supportende.

Microsoft hat im selben Paket zwei weitere Lücken geschlossen bzw. nachgebessert, darunter eine Rechteausweitung unter Linux (CVE-2026-114148). Ein Update lohnt sich also doppelt.

Wie Sadeem hilft

Wir entwickeln und betreiben Individualsoftware mit .NET und Python und kennen solche Abhängigkeitsketten aus dem Alltag. Gerne prüfen wir Ihre Anwendungen, Server und Container auf betroffene Brotli-Versionen, spielen die Updates ein, bauen Images neu und testen, dass danach alles läuft. Im Managed Hosting in Deutschland bzw. der EU übernehmen wir Updates, Backups und Monitoring dauerhaft, damit Sie bei der nächsten Lücke nicht selbst suchen müssen.

Sie sind unsicher, ob Ihre Systeme betroffen sind? Sprechen Sie uns in einem kostenlosen Erstgespräch an.

Quellen

Security.NETPythonNodeJSCVE