Brotli-Lücke und Cisco: Was tatsächlich belegt ist

Was die neue Brotli-Lücke auslöst

Node.js beschreibt zu CVE-2026-111497 einen Schreibzugriff außerhalb eines internen Decoderpuffers. Manipulierte komprimierte Eingaben können den Prozess beschädigen; mögliche Folgen sind Absturz, Speicherabfluss oder Codeausführung. Die Verarbeitung angreiferkontrollierter Brotli-Daten ist die entscheidende Voraussetzung.

Brotli dient unter anderem der HTTP-Kompression mit der Kennung br. Aus einer Brotli-komprimierten Website allein folgt keine verwundbare Cisco-Appliance: Zu klären ist, welcher Prozess die Daten mit welchem Decoder entpackt. Reines Weiterleiten oder Komprimieren belegt diesen Angriffspfad nicht.

Was sich zu Cisco sagen lässt — und was offen bleibt

In den ausgewerteten öffentlichen Cisco-Quellen und den gezielten Suchen nach Brotli beziehungsweise der CVE konnten wir zum Stichtag keine produktspezifische PSIRT-Zuordnung für CVE-2026-111497 belegen. Auch der abgerufene aktuelle PSIRT-RSS-Feed enthielt keinen passenden Eintrag. Diese Recherche ist kein vollständiger Nachweis über alle Cisco-Produkte oder nicht öffentliche Supportinformationen.

Wir setzen deshalb weder IOS XE, NX-OS, ISE, Catalyst Center, Meraki noch Secure Firewall pauschal auf eine Betroffenenliste. Ebenso wenig erklären wir diese Familien für sicher. Aussagen aus einer PHP-Meldung gelten nicht automatisch für Brotli; der PHP2Shell-Beitrag behandelt einen anderen Fehlerkomplex.

Zwei Cisco-Meldungen, die leicht verwechselt werden

CVE-2023-20215 betrifft die Filterung in Cisco Secure Web Appliance bei aktivierten Content-Encoding-Typen, darunter Brotli. Das Advisory stammt von 2023, zuletzt aktualisiert 2024: eine Filterumgehung, kein Nachweis für CVE-2026-111497. Cisco nennt dort beispielsweise 14.5.3-033 und 15.2.0-164 als behobene Stände der jeweiligen Zweige. Diese Versionsangaben gelten ausschließlich für die ältere CVE.

Ciscos Dokument 225445 vom 2. Februar 2026 beschreibt dagegen eine Einschränkung der Brotli-Unterstützung im Secure Web Gateway bei SSL-Inspektion und daraus entstehende Ladeprobleme. Es ist kein Advisory zur neuen Decoder-Lücke. Eine dort beschriebene Ausnahme von der Entschlüsselung übernehmen wir deshalb nicht als Sicherheitsmaßnahme gegen CVE-2026-111497.

Welche Updates außerhalb von Cisco bestätigt sind

Das Brotli-Projekt veröffentlichte 1.2.1 als Sicherheitsrelease. Node.js nennt die Sicherheitsreleases 22.23.4, 24.22.1 und 26.12.1. Das sind Upstream- beziehungsweise Node.js-Stände und keine Cisco-Firmwareempfehlungen. Eine eingebettete Bibliothek in einer Appliance wird über den dafür freigegebenen Produktupdateweg ersetzt.

Was über Angriffe bekannt ist

Das niederländische NCSC meldete am 23. Oktober keinen bekannten Nachweis aktiven Missbrauchs. Red Hat unterscheidet die mögliche Codeausführung vom Nachweis eines öffentlich verfügbaren, zuverlässigen RCE-Exploits. Solche Aussagen haben einen Zeitpunkt und einen Geltungsbereich; sie beweisen weder heutige Angriffsfreiheit noch eine erfolgreiche Übernahme von Cisco-Systemen.

Wie Betreiber jetzt zu einer belastbaren Entscheidung kommen

1. 01

   Produkt und Laufzeit erfassen

   Exaktes Produkt, Release und Betriebsform festhalten. Eigene Node.js-Dienste, Container und Erweiterungen separat von der Cisco-Appliance betrachten.

2. 02

   Den Datenweg klären

   Nachweisen, ob das System fremde Brotli-Eingaben entpackt. Ein Bibliotheksfund im Inventar ist ein Prüfhinweis, noch kein vollständiger Expositionsnachweis.

3. 03

   Herstellerzuordnung anfordern

   Fehlt eine eindeutige öffentliche Aussage, Cisco TAC oder den Wartungspartner mit Produkt, Version und CVE ansprechen. Antwort und gegebenenfalls Bug-ID dokumentieren; offen bleibt bis dahin offen.

4. 04

   Passenden Fix einspielen und abnehmen

   Freigegebene Produktupdates beziehungsweise passende Laufzeitupdates testen und ausrollen. Anschließend den wirklich laufenden Stand und die betroffene Anwendungsfunktion prüfen, einschließlich erforderlicher Neustarts oder neu gebauter Container.

Für eine nachvollziehbare Bewertung zählen Produktnachweis, Datenweg, Herstellerantwort und die Abnahme nach dem Update. Diesen Ablauf beschreiben wir auch unter Netzwerk-Security und bei den Abnahme-Artefakten eines Netzprojekts.