Más actualizaciones para Broccoli 2Shell (HTTP2Shell - CVE-2026-111497), revisa TODOS tus dispositivos y aplicaciones

Se ha re­por­ta­do una falla en el de­co­di­fi­ca­dor Brotli, re­gis­tra­da bajo el iden­ti­fi­ca­dor CVE-2026-111497 y de­no­mi­na­da Broc­co­li 2Shell o HTTP2Shell, la cual se ori­gi­nó por un error que po­si­bi­li­ta que in­for­ma­ción com­pri­mi­da de forma ma­li­cio­sa ge­ne­re una es­cri­tu­ra que so­bre­pa­sa el lí­mi­te de un búfer. Esta si­tua­ción afec­ta tanto a Node.js como a Python y a cual­quier in­fra­es­truc­tu­ra que uti­li­ce el de­co­di­fi­ca­dor de Goo­gle es­cri­to en C, lo que exige la ins­ta­la­ción de co­rrec­cio­nes en múl­ti­ples apli­ca­cio­nes y equi­pos.

El fallo de se­gu­ri­dad tiene el po­ten­cial de oca­sio­nar la al­te­ra­ción de la me­mo­ria, la fil­tra­ción de in­for­ma­ción pri­va­da, in­te­rrup­cio­nes en el fun­cio­na­mien­to de los ser­vi­cios o la po­si­ble eje­cu­ción de có­di­go sin re­que­rir au­ten­ti­ca­ción pre­via. Ante esta si­tua­ción, Mi­cro­soft im­ple­men­tó par­ches de emer­gen­cia di­ri­gi­dos a di­ver­sas ver­sio­nes del eco­sis­te­ma .NET, mien­tras que Palo Alto Net­works ad­vir­tió sobre la pre­sen­cia del pro­ble­ma en cier­tos des­plie­gues de fi­re­walls que em­plean PAN-OS y en su com­po­nen­te Pris­ma Cloud Ap­pli­ca­tion Se­cu­rity Trans­por­ter Client.

Por su parte, Cloud­fla­re in­cor­po­ró dos re­glas es­pe­cí­fi­cas orien­ta­das a esta vul­ne­ra­bi­li­dad den­tro de su con­jun­to de re­glas ges­tio­na­das, con­fi­gu­ra­das de ma­ne­ra pre­de­ter­mi­na­da en modo de re­gis­tro para ofre­cer vi­si­bi­li­dad a los usua­rios. Asi­mis­mo, se han iden­ti­fi­ca­do afec­ta­cio­nes en de­ter­mi­na­das lí­neas de lan­za­mien­to de Node.js, exis­tien­do re­por­tes sobre prue­bas de con­cep­to y la de­mos­tra­ción de eje­cu­ción de có­di­go me­dian­te el uso de datos pre­pa­ra­dos con com­pre­sión Brotli.