Ngày 23/10/2026, OpenAI thông báo đã phát hiện một lỗ hổng bảo mật nghiêm trọng cho phép thực thi mã từ xa (RCE) không cần xác thực bên trong Brotli, thư viện nén dữ liệu đang được triển khai rộng rãi trong nhiều hạ tầng mạng và phần mềm máy chủ. Phát hiện này được nhóm bảo mật của OpenAI ghi nhận trong khuôn khổ một đợt diễn tập kiểm thử thâm nhập (red-teaming).
Theo công bố từ OpenAI, lỗ hổng nằm trực tiếp trong thư viện Brotli – thành phần xử lý giải nén luồng dữ liệu được tích hợp sẵn trong nhiều môi trường thực thi và dịch vụ hạ tầng phổ biến như Node.js, runtime Bun và proxy đám mây Envoy. Do cơ chế nén và giải nén thường xử lý trực tiếp dữ liệu thô gửi đến máy chủ, việc tồn tại lỗi bảo mật ở cấp độ này cho phép kẻ tấn công từ xa gửi tải trọng độc hại để kích hoạt việc thực thi mã lệnh tùy ý mà không cần sở hữu bất kỳ quyền hạn hay tài khoản xác thực nào.
Brotli là thuật toán nén dữ liệu mã nguồn mở được tối ưu hóa cho lưu lượng web, đóng vai trò quan trọng trong việc giảm dung lượng truyền tải giữa máy khách và máy chủ. Với việc các nền tảng như Node.js và Bun được hàng triệu ứng dụng backend sử dụng, cùng với Envoy đóng vai trò cổng định tuyến biên (edge proxy) trong phần lớn kiến trúc microservices hiện nay, phạm vi ảnh hưởng tiềm tàng của một lỗ hổng RCE ở tầng thư viện nén là rất đáng kể.
Tại thời điểm thông báo, OpenAI chưa công bố mã định danh CVE cụ thể, thông số kỹ thuật chi tiết về cơ chế lỗi, hay lộ trình phát hành bản vá từ các dự án liên quan như Node.js, Bun và Envoy. Hãng cũng không đề cập đến việc liệu lỗ hổng này đã từng bị khai thác ngoài thực tế trước khi phát hiện hay chưa.