El 21 de octubre de 2026 se publicó una nueva vulnerabilidad que afecta al decodificador Brotli utilizado por Node.js. Identificada bajo el código CVE-2026-111497 y denominada Node2Shell, esta falla de corrupción de memoria podría permitir a un atacante comprometer aplicaciones que procesen datos comprimidos maliciosos.
Con una puntuación CVSS v4.0 de 9,2/10, esta vulnerabilidad supone un riesgo importante para las organizaciones que utilizan Node.js.
Una vulnerabilidad en el núcleo del mecanismo de descompresión Brotli
Brotli es un algoritmo de compresión ampliamente utilizado en la web para reducir el tamaño de los datos intercambiados entre servidores y clientes. Está integrado, en particular, en Node.js para permitir la compresión y descompresión de flujos de datos.
La CVE-2026-111497 aprovecha un error de gestión de memoria en el decodificador Brotli. Cuando se procesa un flujo comprimido diseñado específicamente, el programa puede realizar una escritura fuera de los límites de la memoria asignada.
Este fallo puede provocar una corrupción de memoria y acarrear diversas consecuencias, desde una parada inesperada de la aplicación (denegación de servicio) hasta la divulgación de información sensible presente en la memoria, o incluso la ejecución remota de código arbitrario.
La particularidad de esta vulnerabilidad reside en su vector de ataque: un simple flujo de datos comprimidos malicioso puede ser suficiente para activar la falla, siempre que una aplicación vulnerable acepte descomprimirlo.
¿Cómo se puede explotar la CVE-2026-111497?
La explotación de esta vulnerabilidad depende de la capacidad de un atacante para hacer que una aplicación que utiliza una versión vulnerable del decodificador procese un flujo Brotli malicioso.
En un entorno Node.js, varias funcionalidades pueden verse afectadas:
- El módulo node:zlib, que permite a las aplicaciones comprimir y descomprimir datos.
- La API fetch(), que puede descomprimir automáticamente las respuestas HTTP que utilizan la codificación Brotli.
Un atacante podría explotar esta vulnerabilidad transmitiendo datos Brotli maliciosos a través de una solicitud o respuesta HTTP. No obstante, el riesgo depende de la capacidad de la aplicación para descomprimir datos controlados por el atacante.
¿Qué versiones están afectadas y cómo protegerse?
La vulnerabilidad afecta a varias ramas de Node.js. El 21 de octubre de 2026 se publicaron actualizaciones de seguridad para corregir el problema:
- Node.js 22.x: corregido a partir de la versión 22.23.4
- Node.js 24.x: corregido a partir de la versión 24.22.1
- Node.js 26.x: corregido a partir de la versión 26.12.1
Las versiones anteriores a los parches indicados deben considerarse vulnerables cuando utilicen el componente afectado.
También se han publicado parches para Brotli en las versiones 1.0.10, 1.1.1 y 1.2.1. Por tanto, otras aplicaciones que incorporen versiones vulnerables de esta biblioteca podrían verse afectadas y requerir actualizaciones específicas, incluso si no utilizan Node.js.
Para limitar los riesgos, la actualización a una versión corregida constituye la principal medida de protección.
Identifique los sistemas vulnerables con Cyberwatch
Ante este tipo de vulnerabilidad, la rapidez a la hora de identificar los activos afectados es determinante para reducir la superficie de ataque.
La solución de gestión de vulnerabilidades de Cyberwatch ayuda a las organizaciones a inventariar su parque informático, identificar el software vulnerable y priorizar las acciones correctivas.
Para obtener más información sobre la gestión de vulnerabilidades y las funcionalidades de Cyberwatch, contacte con nuestros equipos.
