Brotli Decoder Flaw Behind Node.js RCE Also Affects Bun, Python and Other Widely Used Software

Se ha descubierto una vulnerabilidad crítica, identificada como CVE-2026-111497, en el decodificador Brotli de Google. Este componente se encarga de descomprimir datos para que las páginas web carguen más rápido, pero un error en su código permite que datos manipulados sobrescriban la memoria del sistema. Esto puede causar desde el cierre inesperado de una aplicación hasta la ejecución remota de código (RCE), que es cuando un atacante logra ejecutar órdenes y tomar el control del servidor sin autorización.

El fallo afecta a una gran variedad de herramientas de programación muy comunes en las empresas. Entre ellas están Node.js (versiones 22, 24 y 26), el entorno Bun (versión 1.4.3 y anteriores) y los paquetes de Python llamados 'Brotli' y 'brotlicffi'. También están en riesgo los servidores intermedios como Envoy e Istio si tienen activada la descompresión de este formato. Aunque el error se corrigió en el código fuente de Google en febrero, las actualizaciones oficiales para los programas que lo usan apenas se publicaron el 21 de octubre de 2026.

Investigadores de seguridad han demostrado que es posible ejecutar código de ataque en sistemas Node.js que no han sido actualizados, mediante una técnica llamada 'Node2Shell'. Por ahora no se han detectado ataques reales contra empresas, pero las autoridades de ciberseguridad recomiendan actualizar de inmediato. Si no puede actualizar todavía, una medida temporal es configurar sus servidores para que rechacen cualquier conexión que use compresión Brotli (identificada en las cabeceras como 'br').

Qué significa para una pyme colombiana y cucuteña: Si su empresa utiliza aplicaciones web desarrolladas a medida o servidores propios con Node.js o Python, debe solicitar a su técnico que instale las actualizaciones de seguridad publicadas esta semana. Es vital actualizar Node.js a las versiones 22.23.4, 24.22.1 o 26.12.1, y Bun a la 1.4.4. En el caso de Python, revise manualmente que los paquetes 'Brotli' o 'brotlicffi' estén en la versión 1.2.1 o superior, ya que el riesgo existe incluso si su aplicación no usa Brotli directamente, pero el paquete está instalado en el servidor.