Node.js corrige fallo crítico que permite ejecución remota de código mediante Brotli

Un fallo de alta severidad en el decodificador Brotli de Node.js puede provocar una escritura fuera de límites y acabar en ejecución remota de código al procesar datos manipulados. Node.js ya ha publicado versiones corregidas para las ramas soportadas: 22.23.4, 24.22.1 y 26.12.1.

El problema, identificado como CVE-2026-111497, ocurre cuando un proceso decodifica contenido Brotli (un formato de compresión de datos) que un atacante controla. Esto sucede frecuentemente en servicios que aceptan respuestas comprimidas o manejan contenido enviado por terceros. El fallo es una corrupción de memoria, donde el proceso escribe en un lugar no permitido, permitiendo ejecutar código arbitrario.

La vulnerabilidad afecta a las ramas 22.x, 24.x y 26.x de Node.js. Las versiones que ya incluyen la corrección son la 22.23.4, 24.22.1 y 26.12.1. Aquellos que utilicen versiones fuera de soporte (18.x, 20.x, 23.x y 25.x) no recibirán actualizaciones oficiales, por lo que la solución es migrar a una rama con mantenimiento.

El riesgo también persiste en entornos corporativos y distribuciones Linux si Node.js se compila enlazándolo contra un Brotli del sistema que no tenga el arreglo. Además, el lanzamiento de seguridad corrige otros problemas de alta severidad relacionados con la validación de nombres de host en TLS (el protocolo que asegura las conexiones seguras).

Qué significa para una pyme colombiana y cucuteña: Si su empresa utiliza aplicaciones o servicios web desarrollados en Node.js, debe verificar qué versión están usando. Si usan las versiones 22, 24 o 26, actualice de inmediato a las versiones 22.23.4, 24.22.1 o 26.12.1 respectivamente. Si su sistema usa versiones más viejas (como la 18 o 20), no recibirá parches y debe planear la migración de su software a una versión soportada para evitar que un atacante tome el control de sus servidores.