HTTP2Shell: la falla critica in Brotli (CVE-2026-111497) e il rischio per WordPress

Wordfence ha pubblicato il 2 novembre 2026 un'analisi su HTTP2Shell, il nome con cui circola CVE-2026-111497, vulnerabilità critica nel decoder Brotli con ricadute dirette sui siti WordPress. Chi gestisce hosting deve sapere una cosa semplice: non è WordPress il problema, ma la libreria di compressione usata dal server sotto di esso.

Cosa dice Wordfence

Il 22 ottobre 2026 Google ha pubblicato CVE-2026-111497, una vulnerabilità critica in Brotli, un giorno dopo che il progetto Brotli aveva rilasciato le versioni corrette. CVE-2026-111497 è una scrittura fuori dai limiti (out-of-bounds write) nel decoder Brotli. È una vulnerabilità critica in Brotli, non in WordPress, ma WordPress può offrire un percorso verso il decoder vulnerabile.

Il punto pratico per chi amministra siti: bisogna chiedere al proprio hosting provider se la libreria Brotli usata dal sito è stata corretta per CVE-2026-111497, perché aggiornare WordPress, un plugin o un tema non aggiorna questa libreria a livello di server.

Sul fronte exploit, Wordfence è cauta: CISA elenca CVE-2026-111497 come nota per sfruttamento attivo, ma la sua scheda pubblica non identifica l'applicazione interessata, il percorso d'attacco o l'esito; le reti di sensori continuano a registrare tentativi di sfruttamento, ma i report pubblici esaminati fino al 2 novembre non documentano una compromissione in produzione riuscita né una compromissione tramite WordPress. Per chi usa hosting gestito, l'indicazione resta la stessa: ai clienti di hosting gestito conviene chiedere al provider di confermare che ogni copia di Brotli usata dal sito contenga la correzione per CVE-2026-111497 e che i servizi interessati siano stati riavviati o ridistribuiti.

Tempistica e gravità

Il 27 ottobre 2026 CISA ha aggiunto CVE-2026-111497 al suo catalogo Known Exploited Vulnerabilities. La falla riguarda le versioni di Brotli dalla 1.0.3 alla 1.0.9, la 1.1.0 e la 1.2.0; le versioni corrette sono 1.0.10, 1.1.1 e 1.2.1.

Versioni corrette per distribuzione

Sulla pagina ufficiale Ubuntu Security Notices il pacchetto brotli risulta sistemato così: su Ubuntu 22.04 LTS in versione 1.0.9-2ubuntu0.1, su Ubuntu 24.04 LTS in versione 1.1.0-2ubuntu0.1, su Ubuntu 26.04 LTS in versione 1.2.0-3ubuntu0.1. Il punteggio di gravità riportato da Ubuntu è CVSS 3.1 pari a 9.8, critico.

Cosa fare

Chi gestisce VPS o server dedicati deve verificare la versione installata del pacchetto brotli (o libbrotli) e aggiornarla tramite il gestore pacchetti della propria distribuzione, poi riavviare i servizi che la caricano (web server, reverse proxy, runtime applicativi). Chi usa hosting condiviso o gestito deve chiedere conferma scritta al provider.