Node.js、Python、Bun全中招：一个压缩库的内存漏洞，让半个互联网"裸奔"

Google ha revelado una vulnerabilidad crítica de escritura fuera de límites (CVE‑2026‑111497) en su decodificador Brotli, que es usado por Node.js, Python (paquetes brotli y brotlicffi), Bun y el proxy Envoy.

Imperva demostró que, en la versión oficial de Node.js 24.22.0 (Linux arm64), es posible ejecutar código remoto mediante datos Brotli manipulados, llamando a este exploit “Node2Shell”. La versión parcheada 24.22.1 bloquea el ataque.

Los rangos de versiones vulnerables son: Node.js 22.x < 22.23.4, 24.x < 24.22.1 y 26.x < 26.12.1; los paquetes brotli y brotlicffi de Python están afectados en todas sus versiones, al igual que cualquier versión de Bun que incluya el decodificador Brotli y cualquier configuración de Envoy que descomprima Brotli.

Para comprobar si su aplicación está en riesgo, revise la versión de Node.js con node -v, los paquetes Python con pip show brotli y pip show brotlicffi, y la versión de Bun con bun -v. Actualice a las versiones mínimas indicadas y reinicie los procesos; si no hay parche disponible, evite descomprimir datos Brotli no confiables o reemplace Brotli por gzip/deflate.

Esta vulnerabilidad subraya la importancia de mantener un SBOM actualizado, usar herramientas de actualización automática de dependencias y minimizar bibliotecas externas para reducir la superficie de ataque.

Qué significa para una pyme colombiana y cucuteña: Revise inmediatamente la versión de Node.js, los paquetes brotli/brotlicffi en Python, Bun y Envoy que usa su empresa; actualice a Node.js ≥ 22.23.4, ≥ 24.22.1 o ≥ 26.12.1 y, en cuanto haya parches para Python o Bun, aplíquelos. Mientras tanto, desactive la descompresión de datos Brotli provenientes de fuentes no confiables o sustitúyala por gzip/deflate para evitar posibles compromisos.