Palo Alto Networks
CVE-2026-111497
Portfolio Status: Impact of Brotli Vulnerability (CVE-2026-111497) on Palo Alto Networks Products
Critical9.2
KEV
มี CVE ในประกาศนี้อยู่ในรายการ CISA KEV (ถูกใช้โจมตีจริงแล้ว) · เพิ่มเมื่อ 27 ต.ค. 2026 · CISA กำหนดให้แก้ไขภายใน 10 พ.ย. 2026
เปิดประกาศต้นฉบับ (เปิดในแท็บใหม่)สรุปจากผู้ผลิต
Palo Alto Networks is aware of the vulnerability in Brotli: CVE-2026-111497.
A buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0 on all platforms allows a remote unauthenticated attacker to corrupt adjacent decoder state memory, disclose sensitive memory contents, cause a denial of service, or potentially execute arbitrary code using a crafted Brotli-compressed stream. Users need to update any Brotli libraries or binaries between 1.0.3 through 1.2.0 to the latest available version: 1.0.10 or 1.1.1 or 1.2.1. Brotli is commonly used by many HTTP-based applications including Node.js.
Palo Alto Networks is actively investigating its product portfolio and cloud services to determine potential impact from this vulnerability. The sections below will be updated as our analysis progresses and additional information or remediation status becomes available.
Product ที่ได้รับผลกระทบ
PAN-OS
- เวอร์ชันที่ได้รับผลกระทบ
- PAN-OS 12.2: < 12.2.4-h1 PAN-OS 12.1: < 12.1.4-h13, < 12.1.7-h11, < 12.1.10-h3 PAN-OS 11.2: < 11.2.4-h23, < 11.2.7-h23, < 11.2.10-h17, < 11.2.13-h4, < 11.2.16-h1
- เวอร์ชันที่แก้ไขแล้ว
- PAN-OS 12.2: >= 12.2.4-h1 PAN-OS 12.1: >= 12.1.4-h13, >= 12.1.7-h11, >= 12.1.10-h3 PAN-OS 11.2: >= 11.2.4-h23, >= 11.2.7-h23, >= 11.2.10-h17, >= 11.2.13-h4, >= 11.2.16-h1
Prisma Cloud - Application Security Transporter Client
- เวอร์ชันที่ได้รับผลกระทบ
- < 0.2.9
- เวอร์ชันที่แก้ไขแล้ว
- >= 0.2.9
CVE ที่เกี่ยวข้อง (1)
| CVE | CVSS | EPSS | KEV |
|---|---|---|---|
| CVE-2026-111497 | Critical9.8 v3.1 | 82.6% (P100) | KEV ครบกำหนด 10/11/2026 |
EPSS = โอกาสที่ช่องโหว่จะถูกใช้โจมตีใน 30 วันข้างหน้า (FIRST.org) · P = percentile