Kritische Brotli-Lücke: WordPress-Seiten benötigen Server-Update

Eine kritische Sicherheitslücke in Brotli kann Angreifern ermöglichen, ohne Anmeldung Code auf einem Server auszuführen. Betroffen sein können auch WordPress-Seiten und WooCommerce-Shops, wenn ihre Server entsprechend präparierte Daten mit einer verwundbaren Brotli-Version verarbeiten. Das Sicherheitsupdate ist dringend. Die ersten korrigierten Brotli-Versionen der jeweiligen Entwicklungszweige sind 1.0.10, 1.1.1 und 1.2.1.

Brotli komprimiert Webinhalte, damit weniger Daten übertragen werden müssen. Die Lücke CVE-2026-111497 liegt in dieser serverseitigen Softwarebibliothek, nicht in WordPress, Plugins oder Themes. WordPress-Updates beheben sie deshalb nicht. Trotz der verbreiteten Bezeichnung „HTTP2Shell“ betrifft der Fehler nicht das HTTP/2-Protokoll.

Angriff über WordPress im Labor bestätigt

Wordfence konnte die Ausführung von Schadcode in einer isolierten WordPress-Testumgebung nachweisen. Dabei veranlasste eine nicht angemeldete Anfrage über die XML-RPC-Pingback-Funktion WordPress dazu, Daten von einem fremden Server abzurufen. Dessen manipulierte, Brotli-komprimierte Antwort löste den Fehler aus.

Der veröffentlichte Angriff funktioniert nicht unverändert auf jeder Serverkonfiguration. Dennoch wurden bereits Angriffsversuche beobachtet, und die US-Behörde CISA führt die Lücke als bereits ausgenutzt. Ein erfolgreicher Angriff auf eine produktive WordPress-Seite war laut dem Bericht mit Stand vom 2. November 2026 öffentlich nicht belegt.

Hosting- und Betriebssystemanbieter können die Korrektur auch in ältere Versionsstände übernehmen. Entscheidend sind deshalb die vollständige Paketversion und die Sicherheitsmeldung des jeweiligen Anbieters, nicht allein die Brotli-Versionsnummer.

Was das für Ihre Seite bedeutet

Fragen Sie Ihren Hoster umgehend, ob alle von Ihrer Seite verwendeten Brotli-Bibliotheken gegen CVE-2026-111497 abgesichert sind. Wenn Sie den Server selbst verwalten, installieren Sie die Sicherheitsupdates Ihres Betriebssystem- oder Plattformanbieters. Stellen Sie sicher, dass betroffene Dienste anschließend neu gestartet beziehungsweise aktualisierte Container neu bereitgestellt wurden. Das Abschalten von XML-RPC oder Pingbacks ersetzt das Update nicht und kann bestehende Integrationen beeinträchtigen.