---
title: "OpenAI descobre falha de execução remota de código na biblioteca Brotli"
url: https://dailyjournal.news/news/2026-10-23/openai-descobre-vulnerabilidade-critica-na-biblioteca-de-compressao-brotli
published: 2026-10-23T23:15:15.691852+00:00
updated: 2026-10-23T23:40:38.539+00:00
categories: ["technology"]
source_count: 2
outlet_count: 0
language: pt-BR
publisher: "Daily Journal"
---

# OpenAI descobre falha de execução remota de código na biblioteca Brotli

Segundo a OpenAI, dados Brotli elaborados de forma específica permitem execução remota de código sem autenticação, e Node.js, Bun, Envoy e Istio já têm versões corrigidas.

## Pontos principais

- Ficam expostos os sistemas que decodificam, a partir de fontes não confiáveis, corpos de requisição, respostas de servidores, arquivos ou fontes tipográficas comprimidos com Brotli. Usar Brotli apenas para comprimir dados de saída não basta para estar exposto.
- Node.js, Bun, Envoy e Istio estão entre os softwares afetados; aplicativos Electron, bindings de Python e Java e o libcurl também devem ser verificados, pois podem embutir um decoder Brotli.
- A OpenAI lista como corrigidas as versões Node.js 22.23.4, 24.22.1 e 26.12.1; Bun 1.4.4; Envoy 1.40.0, 1.39.3, 1.38.6 e 1.37.8; Istio 1.29.9, 1.30.6 e 1.31.2; e Brotli 1.0.10, 1.1.1 e 1.2.1.
- Enquanto não atualiza, a OpenAI recomenda desabilitar a descompressão Brotli de dados não confiáveis; gzip e deflate podem continuar ativos.

A OpenAI descobriu, durante um exercício de red-teaming, uma falha de execução remota de código na biblioteca Brotli que não exige conta de usuário. Um servidor sem correção que aceita entrada comprimida pode ser tomado por um cliente malicioso, e um cliente sem correção, como o curl com --compressed, por um servidor malicioso.

A causa-raiz foi corrigida no código da Brotli em fevereiro, sem que se soubesse então que ela gerava uma falha de segurança. Só agora a biblioteca publicou novas versões e o CVE-2026-111497, e a OpenAI notificou projetos como o Node.js, que lançaram ou lançam atualizações.

## Fontes

- [@gdb: we've found and have been working on disclosure for a remote code execution in a widely-deployed compression library.](https://x.com/gdb/status/2113773790207283353) (2026-10-23)
- [@OpenAI: During this red-teaming exercise, we also found a vulnerability that allows for unauthenticated remote code execution in Brotli, a widely-deployed compression library included in m…](https://x.com/OpenAI/status/2113766354386084338) (2026-10-23)

---

Publicado por Daily Journal. Versão HTML: https://dailyjournal.news/news/2026-10-23/openai-descobre-vulnerabilidade-critica-na-biblioteca-de-compressao-brotli