Las organizaciones que usan software de decodificación Brotli vulnerable se enfrentan a un fallo que se explota activamente y que puede exponer memoria, interrumpir servicios o, potencialmente, permitir la ejecución remota de código. La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) añadió el CVE-2026-111497, también conocido como Node2Shell, a su catálogo de vulnerabilidades explotadas conocidas el 27 de octubre de 2026.
Alerta de CISA confirma que ha habido explotación, pero no indica la fecha de inicio de los ataques, los datos de las víctimas ni lo que consiguieron los atacantes. Identifica el problema como una vulnerabilidad de valor de retorno no verificado en Google Brotli.
La exposición va más allá de Node.js, donde se detectó el fallo por primera vez, según el informe de BleepingComputer del 28 de octubre. Los servidores y clientes HTTP también se ven afectados cuando dependen de implementaciones vulnerables de Brotli. La vulnerabilidad, de gravedad crítica, también se denomina Broccoli2Shell y HTTP2Shell.
Brotli comprime los datos sin pérdida de información, y la decodificación restaura esos datos para poder usarlos. BleepingComputer describe una escritura fuera de límites en el decodificador, es decir, una escritura que puede alcanzar más allá de su área de memoria prevista. Según la descripción de CISA que cita la publicación, un atacante remoto no necesita autenticación para enviar un flujo comprimido con Brotli manipulado que puede corromper la memoria de estado adyacente del decodificador. Entre los posibles resultados están la divulgación de memoria sensible, la denegación de servicio y la ejecución arbitraria de código. La confirmación de explotación activa no permite determinar cuál de esos resultados se produjo en los ataques observados.
El mismo informe indica que Microsoft publicó el domingo una actualización de seguridad de emergencia para .NET, advirtiendo de una posible escalada de privilegios en sistemas que ejecutan una versión vulnerable de .NET.
Remediación y medidas temporales
BleepingComputer señala como plazo de remediación para las agencias federales el 10 de noviembre. CISA precisa que la Binding Operational Directive 26-04 se aplica a las agencias de la rama ejecutiva civil federal. Su alerta describe la obligación de priorizar las vulnerabilidades catalogadas de alto riesgo en activos expuestos públicamente donde la explotación otorga control total, así como la expectativa de comprobar si hubo un compromiso antes de aplicar el parche. CISA también anima a otras organizaciones a priorizar la remediación de las vulnerabilidades catalogadas.
En los sistemas que todavía no pueden actualizarse, BleepingComputer recomienda desactivar temporalmente la decodificación de Brotli o bloquear las solicitudes entrantes comprimidas con Brotli en un proxy o cortafuegos. Sus recomendaciones también piden reiniciar los procesos afectados tras instalar las actualizaciones y reconstruir y volver a desplegar las imágenes de contenedor afectadas.
