Microsoft releases emergency .NET patches for critical Brotli flaw
Microsoft ha lanzado parches de seguridad de emergencia para .NET con el fin de solucionar una vulnerabilidad crítica identificada como CVE-2026-111497 y conocida también como Broccoli2Shell, Node2Shell o HTTP2Shell. El fallo fue descubierto por el equipo rojo de Imperva y se origina debido a una escritura fuera de los límites en el decodificador de Brotli, algoritmo de compresión sin pérdida desarrollado por Google.
Un atacante sin privilegios puede aprovechar esta debilidad mediante un flujo comprimido con Brotli diseñado de forma maliciosa para provocar fallos o fugas de memoria, e incluso lograr la ejecución remota de código en equipos que posean bibliotecas o binarios vulnerables de Brotli. Asimismo, la falla permite elevar privilegios de forma remota en aquellos sistemas que cuentan con instalaciones de .NET sin actualizar que emplean configuraciones que no son predeterminadas.
Las aplicaciones se ven impactadas si procesan datos comprimidos con Brotli a través de la descompresión automática de respuestas de HttpClient, la descompresión de solicitudes en ASP.NET Core o mediante las API de Brotli de System.IO.Compression, tomando en cuenta que esta función no viene activada por defecto. Para solucionar el problema, Microsoft publicó actualizaciones fuera de banda para varias versiones de .NET y recomendó la instalación de los parches con rapidez, mientras que un portal de seguimiento advierte que actualizar la biblioteca Brotli del sistema operativo no resuelve el riesgo en programas que incluyen su propia copia de dicha biblioteca y sugiere bloquear las solicitudes comprimidas con Brotli o inhabilitar su decodificación en caso de no poder aplicar los parches de inmediato.
El artículo original no aporta más detalle sobre las métricas adicionales mencionadas al final del texto respecto al uso de credenciales válidas y las simulaciones del informe.