Brotli-Lücke: Kreis Mettmann schaltet mehrere Online-Dienste vorsorglich ab

Wegen einer schwerwiegenden Schwachstelle in der Datenkomprimierungstechnik Brotli hat der IT-Dienstleister des Kreises Mettmann vorsorglich mehrere behördliche Online-Dienste abgeschaltet. Ziel des Schritts sei es, Risiken für die kommunale IT-Infrastruktur zu minimieren, wie aus einem Bericht von rp-online.de hervorgeht.

Nach Angaben der Kreisverwaltung sind von der Deaktivierung unter anderem Online-Angebote im Kfz-Bereich wie das i-Kfz-Portal sowie einzelne Dienste im Schul- und Geobereich betroffen. Der IT-Dienstleister arbeite derzeit mit Hochdruck an Sicherheitsmaßnahmen, um die betroffenen Angebote so schnell wie möglich wieder bereitzustellen.

Ein konkreter Termin für die Wiederinbetriebnahme steht bislang nicht fest; der Kreis kündigte an, die Öffentlichkeit zu informieren, sobald die Systeme wieder einsatzbereit sind. Die Kreisverwaltung stufte das Problem als weltweites Risiko ein, von dem zahlreiche Unternehmen, Webserver, Cloud-Dienste und Netzinfrastrukturen potenziell betroffen seien.

Weltweite Verwundbarkeit in Cloud- und Serversystemen

Die Schwachstelle wird unter der Kennung CVE-2026-111497 geführt und in Sicherheitskreisen auch unter Bezeichnungen wie Broccoli2Shell, Node2Shell oder HTTP2Shell verhandelt. Entdeckt wurde der Fehler im Google-Brotli-Decoder vom OpenAI Codex Security Team, das die Meldung am 22. Oktober 2026 absetzte.

Analysen von Cloud-Sicherheitsforschern zufolge ist die verwundbare Brotli-Implementierung in über 90 Prozent der öffentlichen Cloud-Umgebungen vorhanden. Die US-Behörde CISA nahm die Schwachstelle am 27. Oktober 2026 in ihren Katalog bekannter ausgenutzter Sicherheitslücken auf und verpflichtete US-Bundesbehörden, Systeme bis zum 10. November 2026 abzusichern.

Angesichts der aktuellen Bedrohungen durch kritische Sicherheitslücken ist ein proaktiver Schutz für Firmen wichtiger denn je. Dieses kostenlose E-Book enthüllt, wie Sie bestehende Sicherheitslücken schließen und Ihr Unternehmen langfristig vor Cyberangriffen schützen. IT-Sicherheits-Guide für Unternehmer jetzt kostenlos herunterladen

Bei der Lücke handelt es sich um einen Schreibfehler außerhalb zulässiger Speichergrenzen im Brotli-Decoder, der mit einem CVSS-Wert von 9,8 von 10 als kritisch bewertet wird. Voraussetzung für einen Angriff ist die Dekompression von Brotli-Daten, die von einem Angreifer kontrolliert werden. Ein manipulierter Datenstrom kann ohne vorherige Authentifizierung zu Systemabstürzen, Speicherlecks oder zur Ausführung von Schadcode aus der Ferne führen.

Erste Angriffe und außerplanmäßige Updates der Hersteller

Die Cybersicherheitsbehörde CSA aus Singapur warnte, dass die Brotli-Decoder-Lücke bereits aktiv ausgenutzt werde, und verwies auf öffentlich verfügbaren Demonstrationscode. Betroffen sind unter anderem Versionen von Node.js vor 22.23.4, 24.22.1 und 26.12.1 sowie die Entwicklungsplattform Microsoft .NET in den Versionen 8, 9, 10 und 11.

Die Bedrohungsanalyse-Firma ELLIO registrierte bereits Exploit-Verkehr mit Shell-Zugriffen auf anfälligen Systemen. Zuvor hatte das Unternehmen am 26. Oktober 2026 eine Anfrage mit 23 Megabyte Brotli-Daten an eine Node.js-Installation verzeichnet.

Immer mehr Unternehmen werden zur Zielscheibe von Cyberkriminellen, die gezielt technische und menschliche Schwachstellen ausnutzen. Experten erklären in diesem kostenlosen Report, welche Maßnahmen jetzt notwendig sind, um sich effektiv gegen moderne Angriffsmethoden abzusichern. Kostenlosen Cyber-Security-Report anfordern

Sicherheitsforscher des Unternehmens Patchstack wiesen zudem nach, dass sich die Lücke über die Pingback-Funktion von WordPress per XML-RPC ohne Anmeldung ausnutzen lässt, wodurch Prozesse abstürzen oder Server unter Volllast geraten können.

Google stellte bereits am 21. Oktober 2026 abgesicherte Versionen der Brotli-Bibliothek bereit. Auch Microsoft veröffentlichte außerplanmäßige Sicherheitsupdates für .NET 8, 9, 10 und 11. Der Geodaten-Spezialist Esri aktualisierte ArcGIS Online, meldete jedoch für ArcGIS Enterprise und ArcGIS Pro noch ausstehende Patches und riet Kunden zur raschen Aktualisierung der zugrundeliegenden .NET-Laufzeitumgebungen.

Mehr zum Thema bei RP Online: „Broccoli2Shell: Kreis Mettmann schaltet Online“