Critical 'HTTP2Shell' Brotli vulnerability triggers emergency patches

Una falla grave de se­gu­ri­dad co­no­ci­da como 'HTTP2Shell', iden­ti­fi­ca­da bajo el có­di­go CVE-2026-111497 y tam­bién de­no­mi­na­da "Broc­co­li2Shell" o "Node2Shell", afec­ta a la bi­blio­te­ca de des­com­pre­sión Brotli in­te­gra­da en Node.js, así como a múl­ti­ples ver­sio­nes de este com­po­nen­te de có­di­go abier­to crea­do por Goo­gle. Este pro­ble­ma de des­bor­da­mien­to de búfer ocu­rre cuan­do un flujo de datos com­pri­mi­dos es­pe­cial­men­te di­se­ña­do pro­vo­ca un cam­bio de blo­que in­vá­li­do que el des­co­di­fi­ca­dor in­ter­pre­ta erró­nea­men­te como una so­li­ci­tud de más in­for­ma­ción, lo que lleva a la so­bre­es­cri­tu­ra de un búfer in­terno de ocho bytes y a la co­rrup­ción de la me­mo­ria cer­ca­na.

El pro­ble­ma tiene un al­can­ce am­plio que im­pac­ta no solo a Node.js y a di­ver­sos clien­tes HTTP de Python con­fi­gu­ra­dos con des­ci­fra­do­res vul­ne­ra­bles, sino tam­bién a otras apli­ca­cio­nes que em­plean im­ple­men­ta­cio­nes afec­ta­das de Brotli. Mi­cro­soft im­ple­men­tó una ac­tua­li­za­ción de emer­gen­cia en .NET para mi­ti­gar el fallo que per­mi­te la es­ca­la­da de pri­vi­le­gios, mien­tras que Node.js y Goo­gle lan­za­ron co­rrec­cio­nes es­ta­bles se­gui­das de su pu­bli­ca­ción pú­bli­ca, su­mán­do­se tam­bién pa­que­tes co­rre­gi­dos para Python. Las con­se­cuen­cias de una ex­plo­ta­ción exi­to­sa abar­can el blo­queo de pro­ce­sos, la ex­po­si­ción de datos en la me­mo­ria y la eje­cu­ción re­mo­ta de có­di­go, tal como lo con­fir­mó un in­for­me de Im­per­va.