CISA alerta de la explotación activa de una vulnerabilidad crítica de Brotli

La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) afirma que los atacantes han comenzado a explotar una vulnerabilidad crítica de Brotli, el algoritmo de compresión sin pérdida de Google. La falla se identifica como CVE-2026-111497 y también se conoce como Node2Shell, Broccoli2Shell y HTTP2Shell.

La vulnerabilidad consiste en una escritura fuera de los límites en el decodificador de Brotli. Un flujo comprimido manipulado puede provocar bloqueos o filtraciones de memoria y, en algunos casos, permitir que un atacante remoto no autenticado ejecute código en dispositivos con bibliotecas o binarios vulnerables de Brotli. El problema se detectó primero en Node.js, pero también afecta a servidores y clientes HTTP que dependen de implementaciones vulnerables de Brotli.

CISA añadió la falla a su catálogo Known Exploited Vulnerabilities (KEV) el martes y ordenó a las agencias federales de Estados Unidos que actualizaran los sistemas afectados antes del 10 de noviembre, de acuerdo con la directiva Binding Operational Directive (BOD) 26-04. La directiva se aplica a las agencias federales. CISA también instó a todos los responsables de la defensa de redes a priorizar las actualizaciones.

Microsoft publicó el domingo una actualización de seguridad de emergencia para .NET y advirtió que los atacantes podrían explotar la falla para elevar privilegios en sistemas con una versión vulnerable de .NET. Para los sistemas que no puedan actualizarse de inmediato, CISA recomendó bloquear las solicitudes entrantes comprimidas con Brotli en el proxy o el cortafuegos, o desactivar la decodificación de Brotli hasta poder aplicar la actualización. Después de instalar el parche, los administradores deben reiniciar los procesos afectados y reconstruir y volver a desplegar las imágenes de contenedor afectadas.