La Agencia de Ciberseguridad e Infraestructura de Seguridad de Estados Unidos (CISA) confirmó este martes que los atacantes han comenzado a aprovechar una vulnerabilidad crítica en el algoritmo de compresión Brotli, conocida por varios nombres: Node2Shell, Broccoli2Shell y HTTP2Shell.
Detalles de la vulnerabilidad
El fallo, registrado como CVE-2026-111497, tiene severidad crítica y se origina en una escritura fuera de límites en el decodificador Brotli, la herramienta que expande los datos comprimidos con el popular algoritmo de compresión sin pérdida de Google. Un atacante sin privilegios puede utilizar un flujo comprimido maliciosamente elaborado para provocar caídas o fugas de memoria y, en determinados casos, lograr la ejecución remota de código en equipos que utilicen bibliotecas o binarios vulnerables de Brotli.
El problema se detectó inicialmente en el entorno de ejecución JavaScript Node.js, pero también afecta a servidores y clientes HTTP que se apoyan en implementaciones vulnerables de Brotli. El pasado domingo, Microsoft publicó además una actualización de seguridad urgente para .NET, en la que advertía de que los atacantes podían aprovechar la falla para escalar privilegios en sistemas con una versión vulnerable de .NET.
Plazo obligatorio para agencias federales
CISA incorporó la vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el martes y ordenó a las agencias gubernamentales estadounidenses aplicar los parches en un plazo de dos semanas, antes del 10 de noviembre, en virtud de la Directiva Operativa Vinculante (BOD) 26-04.
Google Brotli contiene una vulnerabilidad de valor de retorno no comprobado que permite a un atacante remoto no autenticado corromper la memoria de estado adyacente del decodificador, revelar contenidos sensibles de la memoria, provocar una denegación de servicio o, potencialmente, ejecutar código arbitrario mediante un flujo comprimido con Brotli manipulado. Este tipo de vulnerabilidades son un vector de ataque frecuente para actores maliciosos y suponen riesgos significativos para la empresa federal.
Aunque la directiva BOD 26-04 solo se aplica a las agencias federales, la agencia instó a todos los responsables de defensa de redes a priorizar el parcheo de esta falla para bloquear los ataques entrantes.
Recomendaciones para los equipos de seguridad
Los equipos que no puedan aplicar las actualizaciones de inmediato deberían bloquear las solicitudes comprimidas con Brotli en el proxy o el cortafuegos, o desactivar la función de decodificación de Brotli hasta poder actualizar. Tras el parcheo, los administradores también deben reiniciar los procesos afectados y reconstruir y volver a desplegar las imágenes de contenedor afectadas.
Un informe de la firma de seguridad recuerda que las puntuaciones globales de prevención pueden ocultar lo que ocurre después del acceso inicial: cuando los atacantes utilizan credenciales válidas, la prevención cae drásticamente y solo se bloquea el 37% de sus acciones. El Blue Report 2026 mide las defensas técnica por técnica en 338 millones de simulaciones ejecutadas en entornos de producción de clientes.
Artículos relacionados
- CISA confirma que las vulnerabilidades PHP2Shell ya se explotan en ataques
- Microsoft publica parches de emergencia para .NET por la crítica falla de Brotli
- La crítica vulnerabilidad 'HTTP2Shell' de Brotli desencadena parches de emergencia
- CISA: los hackers encadenan fallos de Plex en ataques Plex2Shell para vulnerar servidores
- CISA advierte a los administradores que corrijan de inmediato la falla de Ivanti explotada como día cero
Deja una respuesta