Numéro : AL26-027
Date : 28 octobre 2026
Auditoire
La présente alerte s’adresse aux professionnelles et professionnels des TI et aux gestionnaires.
Objet
Une alerte vise à sensibiliser les destinataires à une cybermenace récemment relevée pouvant toucher les biens d’information électroniques et à fournir des conseils supplémentaires en matière de détection et d’atténuation. Le Centre canadien pour la cybersécurité (ou Centre pour la cybersécurité) peut offrir une assistance supplémentaire aux destinataires qui en font la demande.
Détails
Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) est au courant d’une vulnérabilité critique touchant la bibliothèque de compression Google BrotliNote de bas de page 1. En réponse à l’avis du fournisseur, le Centre pour la cybersécurité a publié un avis le 26 octobre 2026 Note de bas de page 2.
Google Brotli est un algorithme de compression à code source ouvert développé par Google qui réduit la taille du contenu Web, notamment les fichiers HTML, CSS et JavaScript, afin d’améliorer la vitesse de chargement des sites Web et de réduire l’utilisation de la bande passante.
Publiée sous le numéro CVE-2026-111497Note de bas de page 3, cette vulnérabilité d’écriture hors limites (CWE-787)Note de bas de page 4 touche le décodeur Google Brotli. Connue sous le nom de « Broccoli2Shell »Note de bas de page 5, la vulnérabilité pourrait être exploitée à distance et sans authentification par l’envoi de données compressées spécialement conçues. Une exploitation réussie pourrait entraîner une corruption de la mémoire, la divulgation de renseignements sensibles, l’arrêt de processus ou l’exécution de code arbitraire dans les applications ou les services touchés.
Comme Brotli est largement intégré à d’autres logiciels, les organisations devraient évaluer les applications et les produits qui intègrent des composants Brotli vulnérables ou qui en dépendent. Les technologies touchées comprennent notamment Node.js, Microsoft .NET, PowerShell, Bun, Envoy Proxy, Istio ainsi que les paquets Python Brotli et brotlicffi.
Le Cybersecurity and Infrastructure Security Agency (CISA) a ajouté la vulnérabilité CVE-2026-111497 à son catalogue de vulnérabilités exploitées connues (KEV) le 27 octobre 2026Note de bas de page 6.
Mesures recommandées
Le Centre pour la cybersécurité recommande fortement aux organisations qui utilisent des versions touchées de Brotli de passer à la version corrigée suivante :
| Produit touché | Versions touchées | Versions corrigées |
|---|---|---|
| Brotli | Versions 1.0.3 antérieures à la version 1.0.10 | Version 1.0.10 |
| Brotli | Versions 1.1.0 antérieures à la version 1.1.1 | Version 1.1.1 |
| Brotli | Versions 1.2.0 antérieures à la version 1.2.1 | Version 1.2.1 |
Le Centre pour la cybersécurité recommande aux organisations de prendre les mesures suivantes :
- Repérer les systèmes, les applications et les services exposés à Internet qui utilisent des versions de Brotli vulnérables et prioriser leur mise à jour, y compris pour les logiciels et les dépendances tiercesNote de bas de page 7.
- Appliquer les mises à jour de sécurité pertinentes dès que possible.
- Lorsqu’il n’est pas possible d’appliquer immédiatement les mesures correctives, empêcher les applications touchées de traiter du contenu compressé avec Brotli provenant de sources non fiables jusqu’à ce qu’une mise à jour puisse être appliquée.
- Surveiller les systèmes touchés afin de détecter les arrêts inattendus d’applications, les comportements anormaux de processus ou toute autre activité suspecte.
Les organisations devraient également consulter les 10 mesures de sécurité des TI du Centre pour la cybersécuritéNote de bas de page 8.
Si les destinataires relèvent des activités semblables aux informations fournies dans la présente alerte, ils sont invités à le signaler par l'entremise de Mon cyberportail ou par courriel à contact@cyber.gc.ca.