Microsoft publica parches de emergencia para .NET por una vulnerabilidad crítica en el decodificador Brotli

Microsoft ha emitido actualizaciones de seguridad de emergencia para .NET destinadas a corregir una vulnerabilidad crítica en el decodificador Brotli. La falla, conocida como Broccoli2Shell y también identificada como Node2Shell y HTTP2Shell, está registrada con el identificador CVE-2026-111497 y afecta a clientes y servidores HTTP, además de a otras aplicaciones y herramientas que emplean implementaciones vulnerables de Brotli.

El origen del problema es una escritura fuera de límites en el decodificador Brotli, que expande datos comprimidos con el algoritmo de compresión sin pérdida Brotli de Google, de uso muy extendido. Según el aviso de Microsoft difundido el domingo, una explotación exitosa permite a atacantes sin privilegios emplear un flujo comprimido creado maliciosamente para causar bloqueos o fugas de memoria y, en determinados casos, lograr ejecución remota de código en dispositivos con binarios o bibliotecas Brotli vulnerables.

Microsoft advierte de que los atacantes también podrían aprovechar esta falla para escalar privilegios de forma remota en sistemas con instalaciones de .NET sin parchear que utilicen configuraciones no predeterminadas. La compañía explica que las aplicaciones pueden verse afectadas si procesan datos comprimidos con Brotli mediante la descompresión de solicitudes de ASP.NET Core, la descompresión automática de respuestas de HttpClient o las API Brotli de System.IO.Compression.

La descompresión Brotli no está habilitada por defecto en una instalación estándar de .NET o ASP.NET Core. Las aplicaciones deben optar manualmente por la descompresión de solicitudes de ASP.NET Core o la descompresión de respuestas de HttpClient, o deben invocar manualmente las API de descompresión Brotli proporcionadas por .NET.

Para resolver la vulnerabilidad, Microsoft ha publicado actualizaciones de seguridad fuera de ciclo (OOB) para .NET 8, .NET 9 y .NET 10, junto con .NET 11 Release Candidate 3, y recomienda actualizar cuanto antes. Aunque ya se han publicado exploits de prueba de concepto (PoC) para Broccoli2Shell en GitHub, no se han registrado informes de explotación maliciosa en el mundo real.

Un portal en línea dedicado al seguimiento de la falla advierte de que actualizar la biblioteca Brotli del sistema no elimina el riesgo en aplicaciones que incluyen su propia copia de la biblioteca. Quienes no puedan aplicar las actualizaciones de inmediato deben bloquear las solicitudes entrantes comprimidas con Brotli mediante un proxy o firewall, o deshabilitar la decodificación Brotli hasta que puedan aplicar el parche.

Una vez que los atacantes tienen credenciales válidas, solo se bloquea el 37% de sus acciones

Las puntuaciones generales de prevención pueden ocultar lo que sucede después del acceso inicial. Cuando los atacantes utilizan credenciales válidas, la prevención cae drásticamente. El Informe Blue 2026 mide las defensas técnica por técnica en 338 millones de simulaciones ejecutadas en entornos de producción de clientes.