VULNERABILIDAD
CISA alerta por la explotación de la falla crítica Node2Shell en Brotli y ordena parchear
La agencia estadounidense confirmó intentos de explotación de la vulnerabilidad crítica en la biblioteca de compresión de Google y fijó el 10 de noviembre como plazo para agencias federales.
La Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) confirmó que atacantes comenzaron a explotar una vulnerabilidad crítica en la biblioteca de compresión Brotli de Google, conocida como Node2Shell, Broccoli2Shell y HTTP2Shell, registrada como CVE-2026-111497.
El fallo proviene de una escritura fuera de límites en el decodificador de Brotli. Un atacante no autenticado puede enviar un flujo comprimido malicioso para provocar caídas, filtrar memoria sensible o, en algunos casos, lograr ejecución remota de código en equipos con implementaciones vulnerables.
El problema se identificó primero en el entorno de ejecución Node.js, pero también afecta a servidores y clientes HTTP que usan implementaciones vulnerables de Brotli. La agencia sumó la falla a su catálogo de vulnerabilidades explotadas y fijó el 10 de noviembre como plazo de parcheo para agencias federales.
En paralelo, CISA incorporó al mismo catálogo una falla de carga de archivos sin restricciones en Adobe Commerce y Magento, registrada como CVE-2026-48356 y bautizada PolyShell, que ya habría sido usada para infectar cientos de tiendas en línea.
Cómo ocurrió
- Confirmado
- BrotliEscritura fuera de límites en el decodificadorConfirmado.
- Flujo maliciosoAtacante no autenticado envía datos comprimidosConfirmado.
- Node.js y HTTPEquipos con implementaciones vulnerablesConfirmado.
- Memoria sensiblePosible filtración o ejecución de códigoConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
Qué se sabe
ACREDITADO
- CISA confirmó la explotación de CVE-2026-111497 y la agregó a su catálogo de vulnerabilidades explotadas.
- La agencia ordenó a las agencias federales parchear antes del 10 de noviembre bajo la directiva BOD 26-04.
- CISA describió el fallo como una vulnerabilidad de valor de retorno no verificado en Brotli que permite corromper memoria, divulgar datos, causar denegación de servicio o ejecutar código arbitrario.
- CISA también sumó CVE-2026-48356, de Adobe Commerce y Magento, a su catálogo de vulnerabilidades explotadas.
SIN VERIFICAR O ABIERTO
- La magnitud real de la explotación de Node2Shell sigue sin estar clara; se registraron intentos y tráfico con un exploit público, pero no se precisó cuántos sistemas fueron comprometidos.
- La cifra de tiendas afectadas por PolyShell proviene de una empresa de seguridad y no fue confirmada por Adobe ni por autoridades.
Contexto
Brotli es un algoritmo de compresión desarrollado por Google que reduce el tamaño de contenido web como HTML, CSS y JavaScript. Su amplia adopción explica el alcance del problema: varios proyectos y proveedores ya publicaron actualizaciones, entre ellos Node.js, PHP, Bun y Microsoft .NET.
Una firma de seguridad advirtió que el 91% de los entornos de nube contienen recursos vulnerables a la falla y que el 82% tienen instancias de Node.js expuestas públicamente, lo que amplía la superficie de ataque potencial.
La falla de Adobe Commerce y Magento, con puntuación CVSS de 9.3, permite subir archivos sin restricciones y ejecutar código con los privilegios del usuario actual. Según una empresa de seguridad de WordPress, los atacantes habrían usado un bloque del CMS para insertar un cargador malicioso.
Qué hacer
- Aplicar parches disponibles Actualizar Node.js, PHP, Bun, Microsoft .NET y cualquier componente que use Brotli a las versiones corregidas por cada proveedor.
- Bloquear solicitudes comprimidas Si no se puede parchear de inmediato, bloquear en el proxy o firewall las solicitudes con compresión Brotli o desactivar la decodificación hasta actualizar.
- Revisar tiendas Magento Los operadores de comercio electrónico deben verificar sus instalaciones de Adobe Commerce y Magento y buscar cargadores o bloques no autorizados.
- Inventariar exposición Identificar instancias de Node.js y servidores HTTP expuestos a internet que usen implementaciones vulnerables de Brotli y priorizar su actualización.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
