Brotli bug reaches far beyond Node.js (CVE-2026-111497)

Una falla de se­gu­ri­dad en la bi­blio­te­ca de com­pre­sión de có­di­go abier­to de Goo­gle, Brotli, pone en pe­li­gro a una am­plia va­rie­dad de pro­gra­mas. Este fallo de es­cri­tu­ra fuera de lí­mi­tes, que puede ex­plo­tar­se de forma re­mo­ta, es co­no­ci­do tam­bién bajo los nom­bres de “Node2Shell”, “Broc­co­li2Shell” y “Brotli2Shell”, y fue di­vul­ga­do de ma­ne­ra pú­bli­ca por Node.js.

Los en­car­ga­dos de Node.js ex­pli­ca­ron que un ata­can­te capaz de pro­por­cio­nar in­for­ma­ción com­pri­mi­da en Brotli que una apli­ca­ción des­com­pri­ma me­dian­te node:zlib puede co­rrom­per­se la me­mo­ria del pro­ce­so, lo que pro­vo­ca­ría un blo­queo, la re­ve­la­ción de dicha me­mo­ria o la eje­cu­ción re­mo­ta de có­di­go. In­ves­ti­ga­do­res de Te­na­ble se­ña­la­ron que cual­quier sis­te­ma que des­com­pri­ma in­for­ma­ción con­tro­la­da por un ata­can­te uti­li­zan­do un de­co­di­fi­ca­dor vul­ne­ra­ble de Brotli se en­cuen­tra ex­pues­to, afec­tan­do a múl­ti­ples tec­no­lo­gías, pla­ta­for­mas y clien­tes HTTP.

Ya se han pu­bli­ca­do có­di­gos de prue­ba de con­cep­to en GitHub y se ha de­mos­tra­do la eje­cu­ción re­mo­ta de có­di­go fren­te a imá­ge­nes de Linux. Asi­mis­mo, una em­pre­sa de in­te­li­gen­cia de ame­na­zas in­di­có que sus sen­so­res han re­gis­tra­do trá­fi­co de ata­ques uti­li­zan­do esta vul­ne­ra­bi­li­dad de ma­ne­ra ac­ti­va, pro­ve­nien­tes de una di­rec­ción IP aso­cia­da pre­via­men­te con otros in­ten­tos de ata­que y son­deos a dis­tin­tas pla­ta­for­mas, lo que su­gie­re que el fallo está sien­do adop­ta­do para ata­ques ma­si­vos.