Microsoft ha publicado parches de seguridad de emergencia para una vulnerabilidad crítica de Brotli que afecta a las aplicaciones .NET que habilitan explícitamente la descompresión. El fallo, identificado como CVE-2026-111497, puede permitir a un atacante no autorizado elevar privilegios a través de la red, según el aviso de Microsoft publicado el 25 de octubre de 2026.
La exposición depende de cómo gestiona una aplicación los datos comprimidos. Microsoft indica que la descompresión Brotli está deshabilitada de forma predeterminada en las instalaciones estándar de .NET y ASP.NET Core. Para utilizar la funcionalidad afectada, las aplicaciones deben habilitar la descompresión de solicitudes de ASP.NET Core o la descompresión de respuestas de HttpClient, o bien llamar directamente a las API de descompresión Brotli.
Brotli es un algoritmo de compresión sin pérdida desarrollado por Google. La vulnerabilidad implica una escritura fuera de límites en su decodificador, lo que significa que la descompresión puede escribir datos fuera de los límites de memoria previstos. BleepingComputer informó el 26 de octubre de que Imperva Red Team descubrió el fallo, también conocido como Broccoli2Shell, Node2Shell y HTTP2Shell.
Según ese informe, un flujo comprimido con Brotli elaborado específicamente puede provocar bloqueos y fugas de memoria y, en algunas circunstancias, ejecución remota de código en software que utilice binarios o bibliotecas de Brotli vulnerables. Microsoft clasifica el impacto en .NET como elevación de privilegios y califica la vulnerabilidad como crítica. Su evaluación indica que la explotación no requiere privilegios previos ni interacción del usuario, pero sí tiene una complejidad de ataque alta.
Actualizaciones y exposición
BleepingComputer enumera las actualizaciones fuera de banda como .NET 8.0.33, .NET 9.0.22 y .NET 10.0.14, junto con .NET 11 Release Candidate 3. El informe indica que Microsoft instó a los usuarios a actualizar cuanto antes.
También importa la distinción entre las bibliotecas del sistema y las dependencias de las aplicaciones. Un portal de seguimiento específico citado por BleepingComputer advierte de que actualizar la biblioteca Brotli del sistema no corrige las aplicaciones que incluyen su propia copia. El informe aconseja a las organizaciones que no puedan parchear de inmediato que bloqueen las solicitudes entrantes comprimidas con Brotli mediante un proxy o un cortafuegos, o que deshabiliten la decodificación Brotli hasta que puedan aplicarse las actualizaciones.
En el momento de su publicación original, el aviso de Microsoft para CVE-2026-111497 marcaba la vulnerabilidad como divulgada públicamente, sin explotación confirmada, y evaluaba la explotación como más probable. Posteriormente, BleepingComputer informó de que habían aparecido en GitHub pruebas de concepto de exploits, aunque señaló que no se habían registrado casos de explotación maliciosa en entornos reales.
