PHP güvenlik açığının ardından sunucu yöneticilerinin gündeminde bu kez Brotli var. CVE-2026-111497, özel hazırlanmış sıkıştırılmış veriyi açan savunmasız uygulamalarda uzaktan kod çalıştırılmasına kadar gidebilen bir bellek hatası. Yamalar 21 Ekim’de yayımlandı.

Brotli, verileri daha küçük boyutta taşımak için kullanılan bir sıkıştırma teknolojisi. Sorun sıkıştırılmış veriyi açan bileşende bulunuyor. Node.js’in resmî duyurusuna göre saldırganın uygulamaya açtırabildiği bozuk veri; çökmeye, bellek içeriğinin açığa çıkmasına veya kod çalıştırılmasına yol açabiliyor.

Her internet sitesi aynı ölçüde etkilenmiyor

Bir sitede Brotli adının görülmesi tek başına saldırıya açık olduğunu kanıtlamıyor. Belirleyici koşul, savunmasız bileşenin saldırganın kontrol ettiği sıkıştırılmış veriyi işlemesi. Sunucunun yalnızca kendi sayfalarını Brotli ile sıkıştırmasıyla, dışarıdan gelen veriyi savunmasız çözücüyle açması aynı durum değil.

Bu açık, daha önce haberleştirdiğimiz PHP güvenlik sorunundan ayrı. PHP’yi güncellemek, başka bir uygulamanın kullandığı Node.js veya Brotli bileşenini otomatik olarak yamalamıyor.

Hangi sürümlerde düzeltme var?

Node.js, 21 Ekim güvenlik paketinde şu sürümleri yayımladı:

Node.js dalıYamayı içeren sürüm
22.x22.23.4
24.x24.22.1
26.x26.12.1

Brotli projesinde ise 1.0.10, 1.1.1 ve 1.2.1 sürümleri bu CVE’nin düzeltmesini içeriyor. Kullanılan ürünün kendi güvenlik duyurusu ve paket bilgisi esas alınmalı.

Hosting firmasına yalnızca “güncel miyiz?” diye sormak yetmez

ALPOTECH yorumu: İhtiyacımız olan cevap, genel bir “sunucularımız güncel” mesajından daha somut: Hangi uygulama etkileniyor, hangi paket yamalandı ve çalışan hizmet artık hangi sürümü kullanıyor? Özellikle uygulamanın içine gömülü bileşenlerde, sistemde başka bir kopyanın güncel olması yeterli olmayabilir. Güncellemeden sonra ilgili hizmetin yeni paketle çalıştığının doğrulanması önemli.

Bilgi kontrolü: 25 Ekim 2026. Haber, resmî güvenlik duyurularına dayanıyor; herhangi bir site üzerinde saldırı veya sızma testi yapılmadı.