Falha no Brotli permite execução de comandos via pingback do WordPress
Pesquisadores demonstraram que uma requisição sem autenticação ao xmlrpc.php do WordPress aciona a CVE-2026-111497 no decodificador nativo Brotli, usado pelo libcurl para processar respostas HTTP comprimidas, e causa escrita fora dos limites da memória (CWE-787). As versões 1.0.3 a 1.2.0 da biblioteca do Google são vulneráveis; em laboratório, os pesquisadores obtiveram execução de comandos em uma combinação específica (WordPress 7.1.3, Debian 13.7, PHP 8.3.36) e o efeito comum é a queda do processo PHP. A fonte não cita versão corrigida; restrinja o acesso ao xmlrpc.php e desative pingbacks enquanto não houver patch.
O que aconteceu
Pesquisadores demonstraram que uma única requisição sem autenticação a um site WordPress pode acionar uma falha na biblioteca de compressão Brotli, do Google, e derrubar o site ou, em condições específicas, executar comandos no servidor. A falha está na biblioteca Brotli usada pelo libcurl; o núcleo do WordPress não contém a falha.
Por que importa
Qualquer site WordPress com ao menos um post que aceita pingbacks está sujeito à tentativa, sem necessidade de senha ou conta. O efeito mais comum é a indisponibilidade do site pela queda do processo PHP; a execução de comandos foi obtida apenas em laboratório e depende do layout de memória e das versões dos componentes.
O que fazer
Restrinja ou bloqueie o acesso ao xmlrpc.php e desative pingbacks, pois a cadeia de ataque começa nesse endpoint. Verifique se o servidor usa Brotli nas versões 1.0.3 a 1.2.0 e aguarde correção da biblioteca; a fonte não cita versão corrigida.
Para o time técnico
- CVE
- CVE-2026-111497
- Afetados
- Google Brotli (decodificador nativo usado pelo libcurl em respostas HTTP comprimidas), acionável via pingback do WordPress · Biblioteca Brotli do Google, versões 1.0.3 a 1.2.0. Demonstração em laboratório usou WordPress 7.1.3, Debian 13.7 e PHP 8.3.36.
- Exploração
- Prova de conceito demonstrada por pesquisadores e divulgada no dbugs via @ptdbugs. Execução de comandos obtida apenas em condições de laboratório, em build específico, dependente do layout de memória e das versões de todos os componentes; a fonte não relata exploração na natureza.
- Correção
- Fonte não menciona versão corrigida, patch ou mitigação oficial. A cadeia depende do pingback: bloquear xmlrpc.php e desativar pingbacks interrompe o vetor descrito.
- Vetor
- Escrita fora dos limites da memória (CWE-787) no decodificador nativo Brotli, invocado pelo libcurl ao receber resposta HTTP com cabeçalho Content-Encoding: br. Gatilho: requisição de pingback sem autenticação ao xmlrpc.php com URL apontando para o servidor do atacante; o WordPress chama wp_safe_remote_get, o libcurl busca a URL e recebe o fluxo Brotli malicioso. Condição: o site precisa ter ao menos um post que aceite pingbacks.
- Mais detalhes
- O payload não vai na requisição ao WordPress; é entregue na resposta HTTP do servidor do atacante. O efeito geral da cadeia é a queda do processo PHP (negação de serviço). A falha está na biblioteca Brotli do Google; o núcleo do WordPress não contém a falha.
Linha do tempo
Incidente aberto.
Fontes 1 fonte
- @ptdbugs @ptdbugs
