Explotada activamente la vulnerabilidad Node2Shell (CVE-2026-111497)

Threat Research advisory vulnerability Node2Shell Brotli

El 21 de octubre de 2026, Node.js publicó actualizaciones para solucionar varias vulnerabilidades, entre ellas un problema en el decodificador Brotli (CVE-2026-111497). Esta vulnerabilidad crítica de desbordamiento de búfer (puntuación CVSS de 9,2) se conoce popularmente como Node2Shell, aunque también se la ha denominado Broccoli2Shell y HTTP2Shell. El problema se encuentra en el decodificador de Brotli (c/dec/decode.c) de varias versiones de Brotli de Google por lo que los productos que utilizan implementaciones de Brotli son vulnerables. Si un atacante explota la vulnerabilidad con éxito, podría provocar la divulgación de memoria, una denegación de servicio o la ejecución remota de código.

Los atacantes ya están explotando activamente esta vulnerabilidad. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA) añadió el CVE-2026-111497 a su Catálogo de Vulnerabilidades Conocidas y Explotadas (KEV) el 27 de octubre.

Medidas recomendadas

Los investigadores de Counter Threat Unit™ (CTU) recomiendan que las organizaciones identifiquen las bibliotecas o archivos binarios de Brotli vulnerables y actualicen a la última versión según corresponda. Las organizaciones deberían evaluar qué productos de sus entornos podrían estar en riesgo. Varios proveedores, entre ellos Microsoft y PHP, han publicado actualizaciones para solucionar esta vulnerabilidad en sus productos.

Medidas de Sophos

SophosLabs sigue vigilando el panorama de amenazas en busca de actividad relacionada con esta vulnerabilidad y ofrecerá detecciones y protecciones en cuanto estén disponibles.

Acerca del autor

Sophos Counter Threat Unit Research Team

Sophos Counter Threat Unit™ (CTU) researchers are recognized authorities in the cybersecurity field, regularly contributing expert analysis to global media, publishing technical analyses for the security community, and presenting about emerging threats at leading security conferences. Backed by Sophos’ advanced security technologies and a broad network of intelligence contacts and partners, the CTU™ plays a critical role in identifying and tracking threat actors and analyzing anomalous activity, uncovering new attack techniques, threats, and major shifts in the threat landscape.