Se ha identificado una vulnerabilidad crítica, CVE-2026-111497, en la biblioteca de compresión Brotli de Google. La vulnerabilidad afecta al decodificador Brotli y podría permitir que un atacante remoto no autenticado provocara una corrupción de memoria a través de un flujo comprimido con Brotli especialmente diseñado. Si se aprovecha con éxito, podría dar lugar a la divulgación de memoria, a una denegación de servicio (DoS) o a la ejecución de código arbitrario en las implementaciones afectadas. Las directrices recientes del proveedor de Node.js identifican específicamente la ejecución remota de código como una posible consecuencia en los entornos de Node.js afectados.
La vulnerabilidad está causada por una escritura fuera de límites en el manejo del cambio de tipo de bloque del decodificador Brotli dentro de c/dec/decode.c. La explotación se produce cuando una aplicación procesa datos comprimidos con Brotli controlados por el atacante.
Dado que Brotli se utiliza habitualmente en aplicaciones web modernas, servidores web, API, proxies, CDN y marcos de software, el impacto potencial va más allá de las aplicaciones que utilizan directamente la biblioteca Brotli. Varios proveedores ya han publicado avisos y han comenzado a lanzar actualizaciones para los productos afectados.
Las organizaciones no deben descartar esta vulnerabilidad por considerar que solo afecta a implementaciones muy específicas. La compresión Brotli se ha convertido en un componente habitual de la infraestructura web moderna y suele estar integrada en marcos de aplicaciones, API, proxies inversos, servicios de distribución de contenidos y entornos de ejecución de software. Por lo tanto, es posible que muchas organizaciones se vean afectadas indirectamente a través de dependencias incluidas en paquetes, más que por el uso directo de la propia biblioteca Brotli.
A fecha de 28 de octubre de 2026, los informes públicos identifican casos de explotación en el mundo real y una incorporación al catálogo KEV de la CISA notificada el 27 de octubre, aunque durante esta revisión no se pudo obtener una confirmación directa de dicha entrada en el catálogo. Existen pruebas de concepto (PoC) públicas de corrupción de memoria y denegación de servicio (DoS), así como afirmaciones de ejecución remota de código (RCE), perolas fuentes revisadasno han establecido ningún exploit de RCE público fiable y verificado de forma independiente. No obstante, la vulnerabilidad sigue siendo significativa debido a su superficie de ataque accesible desde la red y a la amplia adopción de la compresión Brotli.
Componentes afectados
Detalles técnicos
CVE-2026-111497 es una vulnerabilidad de escritura fuera de límites que afecta al decodificador Brotli de Google. La vulnerabilidad se encuentra en la gestión que realiza el decodificador de la lógica de cambio de tipo de bloque y puede activarse al procesar un flujo comprimido con Brotli manipulado.
Si se aprovecha con éxito, podría permitir a un atacante:
La explotación requiere que una aplicación descomprima datos Brotli controlados por el atacante utilizando un decodificador vulnerable; el mero hecho de admitir la compresión Brotli no implica que sea explotable.
Algunos ejemplos pueden ser:
Gravedad y explotación
La vulnerabilidad es especialmente preocupante porque:
Sin embargo, los informes disponibles también señalan que, para explotarla, es necesario que el objetivo procese datos Brotli controlados por el atacante. El repositorio público syrex1013/node2shell describe una vía de corrupción de memoria/Denegación de servicio (DoS) mediante un complemento de laboratorio; sus vías de ejecución remota de código (RCE) documentadas también se basan en la inyección o evaluación de comandos de aplicaciones independientes. Estas afirmaciones no establecen un exploit público de RCE fiable y verificado de forma independiente para la vulnerabilidad de Brotli por sí sola.
Actividad de amenazas
Los informes públicos con fecha del 28 de octubre de 2026 indican que la CISA añadió CVE-2026-111497 a su catálogo de vulnerabilidades explotadas conocidas el 27 de octubre, citando pruebas de explotación activa. Durante esta revisión no se pudo obtener una confirmación directa de esta entrada. La magnitud de la explotación en el mundo real sigue sin estar clara.
La vulnerabilidad podría atraer nuevos ataques por parte de los actores maliciosos debido a:
Las organizaciones deben asumir que los sistemas vulnerables accesibles desde Internet que procesen contenido comprimido con Brotli pueden convertirse en objetivo tras la divulgación pública.
Qué significa esto para las organizaciones
Las organizaciones deben identificar las aplicaciones, los servicios y los componentes de infraestructura que utilicen la funcionalidad de descompresión de Brotli, ya sea directamente o a través de bibliotecas integradas.
A diferencia de las vulnerabilidades que requieren acceso local o una intrusión previa, la CVE-2026-111497 puede activarse de forma remota cuando una aplicación vulnerable procesa contenido malicioso comprimido con Brotli. Dependiendo del producto afectado y del escenario de implementación, una explotación exitosa podría dar lugar a la divulgación de información, a la interrupción del servicio o, potencialmente, a la ejecución de código arbitrario.
Dada la prevalencia de Brotli en los ecosistemas web modernos, las organizaciones no deben dar por sentado que solo se ven afectadas las aplicaciones que tienen Brotli habilitado de forma explícita. También deben revisarse las dependencias y las bibliotecas integradas.
Aplicar las actualizaciones del proveedor
Inventario de dependencias
Revisar los servicios accesibles a través de Internet
Supervisar en busca de comportamientos anómalos
Seguir los avisos de los proveedores
Resumen de riesgos
CVE-2026-111497 es una vulnerabilidad crítica de corrupción de memoria que afecta al decodificador Brotli de Google. La vulnerabilidad puede activarse de forma remota a través de contenido comprimido con Brotli especialmente diseñado y puede provocar la divulgación de memoria, la denegación de servicio o, potencialmente, la ejecución de código arbitrario.
Aunque la magnitud de la explotación activa notificada sigue sin estar clara y las fuentes revisadasno han confirmado la existencia deun exploit público de ejecución de código remoto (RCE) fiable y verificado de forma independiente, el uso generalizado de la compresión Brotli en aplicaciones y servicios web aumenta significativamente la exposición potencial de los entornos afectados. Las organizaciones deben identificar los sistemas afectados y aplicar con carácter prioritario las actualizaciones recomendadas por el proveedor.
Si le preocupa alguna de las amenazas descritas en este boletín o necesita ayuda para determinar qué medidas debe tomar para protegerse de las amenazas más importantes a las que se enfrenta su organización, póngase en contacto con su gestor de cuentas o, si lo prefiere, contáctenos para averiguar cómo puede proteger su organización.