Microsoft envió actualizaciones fuera de banda para .NET, Visual Studio y PowerShell el domingo. Reparan CVE-2026-111497, un desbordamiento de búfer en Brotli, la biblioteca de compresión ampliamente utilizada de Google, que informó el equipo de seguridad Codex de OpenAI. Node.js, paquetes de Python, servidores proxy y otras herramientas que incluyen la biblioteca también incluyen correcciones.
en un Publicación de blog sobre .NETMicrosoft dijo que el desbordamiento del búfer puede permitir que un atacante no autenticado lea o corrompa la memoria del proceso. Eso podría dar lugar a la divulgación de información, la denegación de servicio o la elevación de privilegios. La actualización cubre .NET 8, 9 y 10 y .NET 11 Release Candidate 3. Su guía de actualización de seguridad enumera las compilaciones de Visual Studio y PowerShell.
Microsoft califica la falla como crítica para .NET y Visual Studio e importante para PowerShell. Enumera la falla como divulgada públicamente y no explotada, siendo la explotación «más probable». .NET no activa la descompresión de Brotli de forma predeterminada y la falla no afecta a .NET Framework.
La misma versión completa dos correcciones de Microsoft Martes de parche de octubreque no los abordó plenamente.
Un error, tres nombres
La falla, CVE-2026-111497, se conoce como Node2Shell, HTTP2Shell y Broccoli2Shell. Apareció primero en Node.js, y luego los investigadores lo rastrearon hasta el decodificador C de Brotli. Muchos programas copian ese decodificador en su propio código. Afecta a Brotli 1.0.3 a 1.2.0. Las versiones 1.0.10, 1.1.1 y 1.2.1 lo solucionan. Google, que asignó el CVE, le otorga una puntuación de 9,2 sobre 10 en el registro CVE.
El Aviso de Node.js dice que el decodificador trató un cambio de bloque no válido como una necesidad de más entrada en lugar de un error de formato.
El descodificador de streaming «seguía añadiendo bytes de entrada a un búfer interno de ocho bytes», escribió Node.js.
Un atacante necesita una aplicación para descomprimir datos maliciosos. Podría ser una respuesta comprimida de un servidor que recupera la aplicación. También podría ser una solicitud comprimida que alguien envía directamente a un servidor.
Corregido en febrero, lanzado en octubre.
Node.js le dio crédito a Khai Tran y Sylvie Mayer de Codex Security de OpenAI. OpenAI dijo en un publicar en X que encontró el problema durante el trabajo del equipo rojo.
«Este problema de causa raíz en realidad se solucionó en el código fuente de Brotli en febrero, pero en ese momento no se sabía si daba lugar a una vulnerabilidad de seguridad y no hubo una versión más reciente de Brotli», dijo OpenAI.
Node.js y Google enviaron versiones fijas el 21 de octubre. La misma semana trajo dos fallas críticas de PHPy PHP desde entonces advirtió de un tercero.
¿Qué tan expuestos están todos?
Wiz, una empresa de seguridad en la nube, dice en un publicación de blog que el 91% de los entornos de nube tienen recursos vulnerables a la falla. Dice que el 82% ha expuesto públicamente instancias de Node.js.
Imperva ejecutó su propio código en la imagen oficial de Node.js 24.22.0 para Linux en ARM64. El ataque no funcionó siempre e Imperva no lo ha lanzado. Una prueba de concepto en GitHub sólo funciona contra una compilación deliberadamente debilitada. Sysdig dice. Investigadores de Brandefense argumentan que sólo puede bloquear programas. Nadie ha informado de un ataque utilizando la falla.
Bun, Envoy, Istio y los paquetes Python Brotli y brotlicffi ahora tienen correcciones. JFrog también encontró la falla en FFmpeg, ClickHouse y Apache Arrow, como informó Swati Khandelwal para Las noticias de los piratas informáticos. En algunos de ellos, el ataque comienza con un archivo en lugar de una solicitud web.
A rastreador público todavía enumera DuckDB, Apache Arrow, 7-Zip-zstd, p7zip y EDK II como sin parches. Advierte que actualizar la biblioteca Brotli de un sistema no repara las aplicaciones que incluyen su propia copia, como Node.js. Después de la actualización, los equipos deben reiniciar los servicios y reconstruir las imágenes de los contenedores, porque los procesos en ejecución mantienen el código antiguo.