Node2Shell: la falla de Brotli no es solo de PHP ni de Palo Alto; Node.js, .NET y PowerShell también tienen que actualizarse antes del 10 de noviembre

Si seguiste la saga de PHP2Shell, ya te topaste con CVE-2026-111497: la falla en Brotli que obligó a PHP a reconstruir sus paquetes de Windows y que también alcanzó a algunos firewalls de Palo Alto. Pero Brotli es una librería de compresión que viene empacada dentro de Node.js, .NET, PowerShell y decenas de programas más, y la falla ya tiene nombre propio: Node2Shell (o Broccoli2Shell, o HTTP2Shell).

CISA la agregó a su catálogo de vulnerabilidades explotadas (KEV) el 27 de octubre y fijó a las dependencias federales de EE. UU. el martes 10 de noviembre como fecha límite. Ese mismo martes, .NET 8 y .NET 9 se quedan sin soporte. Si tu empresa tiene sistemas a la medida, este es el fin de semana para revisarlos.

Qué es la falla

Es una escritura fuera de límites en el descompresor de Brotli. Un atacante sin usuario ni contraseña manda un flujo comprimido manipulado y, según el aviso de Node.js, puede corromper la memoria del proceso: tumbarlo, filtrar memoria o, en algunos casos, ejecutar código a distancia.

¿De verdad la están explotando?

Las fuentes no coinciden del todo:

• CISA confirma explotación activa; por eso la metió al KEV.
• ELLIO, empresa de inteligencia de amenazas, reportó tráfico de ataque real de un operador de explotación masiva ligado a PHP2Shell y a sondeos a VPN de Palo Alto y Fortinet.
• Imperva logró ejecutar código contra la imagen oficial de Node.js 24.22.0 para Linux arm64, tras varios intentos.
• The Hacker News reportó que la prueba de concepto pública del 22 de octubre solo ejecutaba código contra una compilación debilitada a propósito; contra versiones normales, tumbaba el proceso.
• La guía de actualizaciones de Microsoft (MSRC) la sigue marcando como "no explotada" en su revisión del 1 de noviembre.

Para una PyME da igual: una tienda en línea caída en plena temporada alta ya es un problema serio.

Dónde vive Brotli: versiones corregidas

Reúne lo publicado por Node.js, Microsoft, el Centro Canadiense de Ciberseguridad y el recuento de Field Effect del 28 de octubre:

Ojo: Node.js preanunció más parches de seguridad para el miércoles 11 de noviembre en las ramas 22, 24 y 26, sin decir si tocan Brotli. Actualiza ya y repite esa semana.

Microsoft sacó los parches de .NET fuera de ciclo, un domingo, y aclara que la descompresión Brotli no viene activada de fábrica en .NET ni ASP.NET Core; pero muchos sistemas a la medida la activan para ahorrar ancho de banda.

Field Effect listaba sin corrección al 28 de octubre: DuckDB (arreglo en proceso), compilaciones de Apache Arrow, 7-Zip-zstd, p7zip y FFmpeg con una libjxl afectada. Importa si procesas archivos de clientes o proveedores.

La trampa de las copias empacadas

En Linux, actualizar el paquete del sistema no alcanza: Node.js, .NET, PowerShell y Bun traen su propia copia de Brotli. Lo mismo con Docker: un contenedor construido hace un mes sigue llevando la versión vieja aunque el anfitrión esté al día. Es el problema que vimos con las imágenes basadas en Alpine 3.21.

Qué hacer antes del martes 10

1. Haz inventario. En cada servidor, corre node -v, dotnet --list-runtimes y pwsh -v, y anota de qué imagen base salen tus contenedores. Pregunta a tu proveedor si su ERP web, portal o tienda usa Node.js o .NET por dentro.
2. Actualiza a las versiones de la tabla, primero lo expuesto a internet y lo que procesa archivos de terceros.
3. Reinicia los procesos. Si el servicio sigue corriendo, la librería vieja sigue en memoria.
4. Reconstruye y vuelve a desplegar los contenedores con imágenes base actualizadas.
5. Si no puedes parchar hoy, bloquea en el proxy o el firewall las peticiones con Content-Encoding: br, o desactiva la descompresión Brotli en la aplicación.
6. Migra lo que ya no tiene soporte. Node.js 20 no recibirá este parche, y .NET 8 y 9 dejan de recibir parches el mismo 10 de noviembre.
7. Vigila caídas raras: reinicios inesperados, volcados de memoria o errores al procesar archivos. Una herramienta de EDR ayuda a detectarlos.

Contexto

Octubre fue pesado para las librerías que nadie ve: PHP2Shell, Brotli y, al cierre del mes, una vulnerabilidad remota en el kernel de Linux. Sin inventario de las piezas que trae tu software por dentro, cada aviso es una búsqueda a ciegas.

Fuentes: alerta AL26-027 del Centro Canadiense de Ciberseguridad (28 de octubre), BleepingComputer (26 de octubre), catálogo KEV de CISA, Help Net Security (27 y 28 de octubre), Field Effect (28 de octubre), SecurityWeek, The Hacker News, la guía MSRC de Microsoft, el aviso del proyecto PowerShell y el registro oficial de la CVE.