ក្រុមហ៊ុន Microsoft បានចេញផ្សាយបច្ចុប្បន្នភាពសុវត្ថិភាពបន្ទាន់សម្រាប់ .NET ដើម្បីជួសជុលចំណុចខ្សោយសុវត្ថិភាពកម្រិតធ្ងន់ធ្ងរ ដែលមានឈ្មោះថា Broccoli2Shell, Node2Shell និង HTTP2Shell។ចំណុចខ្សោយនេះមានលេខសម្គាល់ CVE-2026-111497។ វាបណ្ដាលមកពីកំហុស Out-of-bounds Write នៅក្នុងកម្មវិធីឌិកូដ Brotli ដែលប្រើសម្រាប់ពន្លាទិន្នន័យដែលបានបង្ហាប់ដោយក្បួនបង្ហាប់ Brotli របស់ Google។ ចំណុចខ្សោយ HTTP2Shell អាចប៉ះពាល់ដល់កម្មវិធីអតិថិជន និងម៉ាស៊ីនមេ HTTP ព្រមទាំងកម្មវិធី និងឧបករណ៍ផ្សេងទៀតដែលប្រើការអនុវត្ត Brotli ដែលងាយរងគ្រោះ។
ការវាយប្រហារដោយជោគជ័យអាចអនុញ្ញាតឱ្យជនល្មើសដែលមិនមានសិទ្ធិ ប្រើទិន្នន័យ Brotli ដែលបានបង្កើតឡើងដោយចេតនាដើម្បីបង្កឱ្យកម្មវិធីគាំង ឬបណ្ដាលឱ្យមានការលេចធ្លាយទិន្នន័យក្នុងអង្គចងចាំ (Memory Leak)។ ក្នុងករណីខ្លះ ជនល្មើសអាចប្រតិបត្តិកូដពីចម្ងាយ (Remote Code Execution) លើឧបករណ៍ដែលមានកម្មវិធី ឬបណ្ណាល័យ Brotli ដែលងាយរងគ្រោះ។
យោងតាមសេចក្តីជូនដំណឹងរបស់ Microsoft បានឱ្យដឹងថា ចំណុចខ្សោយនេះក៏អាចត្រូវបានប្រើដើម្បីបង្កើនសិទ្ធិពីចម្ងាយលើប្រព័ន្ធដែលមិនទាន់បានដំឡើងបច្ចុប្បន្នភាព .NET និងប្រើការកំណត់រចនាសម្ព័ន្ធមិនមែនលំនាំដើមផងដែរ។ ក្រុមហ៊ុន Microsoft បានបញ្ជាក់ថា កម្មវិធីអាចរងផលប៉ះពាល់ ប្រសិនបើវាដំណើរការទិន្នន័យដែលបានបង្ហាប់ដោយ Brotli តាមរយៈ ASP.NET Core, HttpClient ឬ API សម្រាប់ពន្លាទិន្នន័យ Brotli របស់ .NET។
ដើម្បីដោះស្រាយចំណុចខ្សោយសុវត្ថិភាពនេះ Microsoft បានចេញផ្សាយបច្ចុប្បន្នភាពសុវត្ថិភាពបន្ទាន់ (Out-of-band Security Updates) សម្រាប់ .NET 8, .NET 9, .NET 10 និង .NET 11 Release Candidate 3។
កូដសាកល្បងការវាយប្រហារ (Proof-of-Concept Exploits – PoC) សម្រាប់ចំណុចខ្សោយ Broccoli2Shell ត្រូវបានផ្សព្វផ្សាយនៅលើ GitHub រួចហើយ ប៉ុន្តែមិនទាន់មានរបាយការណ៍បញ្ជាក់ថា ចំណុចខ្សោយនេះត្រូវបានប្រើប្រាស់ក្នុងការវាយប្រហារជាក់ស្តែងនៅឡើយទេ។
គេហទំព័រតាមដានចំណុចខ្សោយនេះបានព្រមានថា ការធ្វើបច្ចុប្បន្នភាពបណ្ណាល័យ Brotli របស់ប្រព័ន្ធ មិនអាចដោះស្រាយហានិភ័យបានទាំងស្រុងទេ ប្រសិនបើកម្មវិធីមានបណ្ណាល័យ Brotli ផ្ទាល់ខ្លួនភ្ជាប់មកជាមួយ។
សម្រាប់អ្នកដែលមិនទាន់អាចដំឡើងបច្ចុប្បន្នភាពបានភ្លាមៗ គួរទប់ស្កាត់សំណើចូលដែលប្រើ Brotli តាមរយៈ Proxy ឬ Firewall ឬបិទមុខងារឌិកូដ Brotli ជាបណ្ដោះអាសន្ន រហូតដល់អាចដំឡើងបំណះសុវត្ថិភាពបាន។
ប្រភព BleepingComputer ចុះផ្សាយថ្ងៃទី២៦ ខែតុលា ឆ្នាំ២០២៦
