La Agencia de Seguridad de Infraestructuras y Ciberseguridad de Estados Unidos (CISA) ha añadido este martes a su catálogo de vulnerabilidades explotadas conocidas (KEV) dos fallos críticos: uno que afecta a Adobe Commerce y Magento y otro que incumbe a la biblioteca de descompresión Brotli de Google. El organismo justifica la decisión por la existencia de pruebas de explotación activa.
Las dos vulnerabilidades incluidas en el catálogo
- CVE-2026-111497 (puntuación CVSS de 9,2): un fallo de valor de retorno no comprobado en Google Brotli. Un atacante remoto no autenticado podría corromper la memoria de estado del decodificador adyacente, revelar contenidos sensibles de la memoria, provocar una denegación de servicio o, potencialmente, ejecutar código arbitrario mediante un flujo comprimido en Brotli manipulado.
- CVE-2026-48356 (puntuación CVSS de 9,3): una vulnerabilidad de carga sin restricciones de archivos de tipo peligroso en Adobe Commerce y Magento. Puede derivar en ejecución de código arbitrario en el contexto del usuario actual y permitir obtener un acceso elevado o el control de la cuenta o la sesión de la víctima.
PolyShell: cientos de comercios comprometidos
El anuncio llega días después de que Sansec informara de que los atacantes estaban aprovechando CVE-2026-48356, conocida como PolyShell, para comprometer cientos de tiendas de comercio electrónico e inyectar un cargador malicioso a través de un bloque del CMS de Magento. Ese cargador está diseñado para descargar y ejecutar una carga controlada por el atacante, aunque hasta la fecha no se ha recuperado malware de siguiente fase, lo que dificulta determinar los objetivos exactos de la campaña. Se estima que la actividad continúa al menos desde julio de 2025.
Broccoli2Shell y el tráfico de explotación observado
En cuanto a CVE-2026-111497 (también llamada Broccoli2Shell, HTTP2Shell y Node2Shell), los datos de telemetría de la firma de inteligencia de amenazas Previdian muestran que, a fecha de 27 de octubre de 2026, se ha registrado un intento de explotación contra sus sensores trampa procedente de una dirección IP ubicada en Estados Unidos. Por ahora se desconoce si estos esfuerzos tienen un alcance amplio.
Un atacante que pueda suministrar datos Brotli que una aplicación descomprima con node:zlib puede corromper la memoria del proceso. Según Node.js, esa corrupción puede provocar un bloqueo del proceso, la divulgación de memoria sensible del proceso o la ejecución remota de código. La exposición depende, por tanto, de si una aplicación entrega datos comprimidos controlados por el atacante al decodificador afectado.
La firma Rapid7 es la autora de esa advertencia. Por su parte, ELLIO informó el lunes de que sus sensores han detectado tráfico de explotación de CVE-2026-111497 en internet que transporta el exploit público, el cual, según la compañía, permite obtener una shell en las versiones vulnerables. La actividad procede de la dirección IP 94.154.43[.]7, geolocalizada en Países Bajos, que también ha participado en intentos de explotación contra PHP2Shell, dos fallos críticos de PHP que podrían permitir la ejecución remota de código sin autenticación.
La carga del atacante es un intento de explotación de Node2Shell genuino y correctamente estructurado para node v24.22.0: el flujo Brotli, el desplazamiento por etapas, el par de pivote y la entrega son correctos e idénticos a las herramientas públicas. Esto indica que la ejecución remota de código ha sido adoptada por un operador centrado en la explotación masiva.
Amplia superficie de exposición y respuestas de los proveedores
El hecho de que Brotli sea una biblioteca de código abierto ampliamente distribuida y adoptada por numerosos proyectos ha provocado una respuesta de emergencia, lo que ha llevado a distintos proveedores a publicar parches o a evaluar si sus productos se ven afectados. Entre ellos figuran PHP, que ha publicado las versiones 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1, además de Node.js, Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, la extensión Brotli para PHP y la gema «brotli» de Ruby.
- Amazon Linux
- Bun
- Cisco
- Cloudflare
- CloudLinux
- Envoy Proxy
- F5
- Fortinet
- Imperva
- Istio
- Microsoft Azure
- Microsoft .NET
- Node.js
- Palo Alto Networks
- PHP
- Qualys
- Red Hat
- Safe Security
- Strapi
- Tanium
- Tenable
- Ubuntu
- Upwind
Node.js corrigió la vulnerabilidad en las versiones 22.23.4, 24.22.1 y 26.12.1. El aviso de Node.js no ofrece una solución alternativa, por lo que actualizar es la única remediación completa. Las organizaciones que ejecuten una línea de versiones descontinuada deberían pasarse a una línea con soporte.
Akamai es la autora de esa recomendación. Wiz, propiedad de Google, ha advertido de que el 91 % de los entornos de nube tienen recursos vulnerables a CVE-2026-111497 y que el 82 % cuenta con instancias de Node.js expuestas públicamente.
Node2Shell no es un error en todos los servicios de Node.js, sino en los servicios que decodifican Brotli influido por un atacante. Express 5 con análisis JSON por defecto incluye un gran número de instancias en ese grupo. El impacto demostrado hasta ahora son bloqueos a gran escala y ejecución de código en una configuración concreta, por lo que el orden de aplicación de parches debería seguir la reachability (la alcanzabilidad del fallo).
Así lo señala Sysdig. Las agencias federales del poder ejecutivo civil (FCEB) tienen de plazo hasta el 10 de noviembre de 2026 para aplicar las correcciones necesarias frente a ambos fallos.
Deja una respuesta