22 października 2026 roku Google opublikowało wpis dotyczący krytycznej luki bezpieczeństwa w Brotli, oznaczonej identyfikatorem CVE-2026-111497. Publikacja ta miała miejsce dzień po tym, jak projekt Brotli wydał naprawione wersje swojego oprogramowania.
Zgłoszony problem bezpieczeństwa zyskał rozgłos i krążył w sieci pod kilkoma nieoficjalnymi nazwami, takimi jak HTTP2Shell, Node2Shell oraz Brotli2Shell. Zagadnienie to zostało opisane w artykule dotyczącym znaczenia krytycznej podatności Brotli dla witryn opartych na systemie WordPress, opublikowanym w serwisie Wordfence.
