[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/node2shell-brotli-cve-2026-111497-plazo-cisa-10-noviembre":3,"prev-/blog/noticias/node2shell-brotli-cve-2026-111497-plazo-cisa-10-noviembre":562,"next-/blog/noticias/node2shell-brotli-cve-2026-111497-plazo-cisa-10-noviembre":565,"related-/blog/noticias/node2shell-brotli-cve-2026-111497-plazo-cisa-10-noviembre":568,"author-Diego Herrera":589},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":516,"cta":517,"date":522,"dateModified":522,"description":523,"draft":524,"extension":525,"faq":526,"featured":524,"howto":539,"image":540,"imageAlt":541,"intent":542,"keywords":543,"meta":548,"navigation":549,"path":550,"publishedTime":551,"readingTime":552,"seo":553,"seoTitle":554,"stem":555,"tags":556,"__hash__":561},"blog/blog/noticias/node2shell-brotli-cve-2026-111497-plazo-cisa-10-noviembre.md","Node2Shell: la falla de Brotli no es solo de PHP ni de Palo Alto; Node.js, .NET y PowerShell también tienen que actualizarse antes del 10 de noviembre","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":505},"minimark",[11,39,55,60,74,142,146,149,184,187,190,194,197,352,365,376,383,395,399,411,415,481,485,493,496],[12,13,14,15,19,20,25,26,30,31,34,35,38],"p",{},"Si seguiste la saga de PHP2Shell, ya te topaste con ",[16,17,18],"strong",{},"CVE-2026-111497",": la falla en Brotli que ",[21,22,24],"a",{"href":23},"/blog/noticias/php2shell-pan-os-11-1-hotfixes-adelantados-php-windows-brotli","obligó a PHP a reconstruir sus paquetes de Windows"," y que ",[21,27,29],{"href":28},"/blog/noticias/php2shell-explotacion-activa-consola-pan-os-kev-29-octubre","también alcanzó a algunos firewalls de Palo Alto",". Pero Brotli es una librería de compresión que viene ",[16,32,33],{},"empacada dentro"," de Node.js, .NET, PowerShell y decenas de programas más, y la falla ya tiene nombre propio: ",[16,36,37],{},"Node2Shell"," (o Broccoli2Shell, o HTTP2Shell).",[12,40,41,42,45,46,49,50,54],{},"CISA la agregó a su catálogo de vulnerabilidades explotadas (KEV) el ",[16,43,44],{},"27 de octubre"," y fijó a las dependencias federales de EE. UU. el ",[16,47,48],{},"martes 10 de noviembre"," como fecha límite. Ese mismo martes, .NET 8 y .NET 9 ",[21,51,53],{"href":52},"/blog/noticias/dotnet-8-9-powershell-7-4-sin-parches-10-noviembre","se quedan sin soporte",". Si tu empresa tiene sistemas a la medida, este es el fin de semana para revisarlos.",[56,57,59],"h2",{"id":58},"qué-es-la-falla","Qué es la falla",[12,61,62,63,66,67,73],{},"Es una ",[16,64,65],{},"escritura fuera de límites en el descompresor de Brotli",". Un atacante sin usuario ni contraseña manda un flujo comprimido manipulado y, según el ",[21,68,72],{"href":69,"rel":70},"https://nodejs.org/en/blog/vulnerability/october-2026-security-releases",[71],"nofollow","aviso de Node.js",", puede corromper la memoria del proceso: tumbarlo, filtrar memoria o, en algunos casos, ejecutar código a distancia.",[75,76,77,90],"table",{},[78,79,80],"thead",{},[81,82,83,87],"tr",{},[84,85,86],"th",{},"Dato",[84,88,89],{},"Detalle",[91,92,93,102,110,118,126,134],"tbody",{},[81,94,95,99],{},[96,97,98],"td",{},"CVE",[96,100,101],{},"CVE-2026-111497 (Node2Shell, Broccoli2Shell, HTTP2Shell)",[81,103,104,107],{},[96,105,106],{},"Versiones afectadas de Brotli",[96,108,109],{},"1.0.3 a antes de 1.0.10; 1.1.0 a antes de 1.1.1; 1.2.0 a antes de 1.2.1",[81,111,112,115],{},[96,113,114],{},"Versiones corregidas",[96,116,117],{},"1.0.10, 1.1.1 y 1.2.1",[81,119,120,123],{},[96,121,122],{},"Divulgación",[96,124,125],{},"21 de octubre de 2026, por el proyecto Node.js",[81,127,128,131],{},[96,129,130],{},"Catálogo KEV de CISA",[96,132,133],{},"Desde el 27 de octubre; plazo federal: 10 de noviembre",[81,135,136,139],{},[96,137,138],{},"Severidad",[96,140,141],{},"Google, que asignó la CVE: 9.2 (CVSS v4). Microsoft: 8.1 (CVSS v3.1, complejidad alta); crítica en .NET y Visual Studio 2019+, importante en PowerShell y Visual Studio 2017",[56,143,145],{"id":144},"de-verdad-la-están-explotando","¿De verdad la están explotando?",[12,147,148],{},"Las fuentes no coinciden del todo:",[150,151,152,159,165,171,177],"ul",{},[153,154,155,158],"li",{},[16,156,157],{},"CISA"," confirma explotación activa; por eso la metió al KEV.",[153,160,161,164],{},[16,162,163],{},"ELLIO",", empresa de inteligencia de amenazas, reportó tráfico de ataque real de un operador de explotación masiva ligado a PHP2Shell y a sondeos a VPN de Palo Alto y Fortinet.",[153,166,167,170],{},[16,168,169],{},"Imperva"," logró ejecutar código contra la imagen oficial de Node.js 24.22.0 para Linux arm64, tras varios intentos.",[153,172,173,176],{},[16,174,175],{},"The Hacker News"," reportó que la prueba de concepto pública del 22 de octubre solo ejecutaba código contra una compilación debilitada a propósito; contra versiones normales, tumbaba el proceso.",[153,178,179,180,183],{},"La guía de actualizaciones de ",[16,181,182],{},"Microsoft"," (MSRC) la sigue marcando como \"no explotada\" en su revisión del 1 de noviembre.",[12,185,186],{},"Para una PyME da igual: una tienda en línea caída en plena temporada alta ya es un problema serio.",[188,189],"ad-banner",{},[56,191,193],{"id":192},"dónde-vive-brotli-versiones-corregidas","Dónde vive Brotli: versiones corregidas",[12,195,196],{},"Reúne lo publicado por Node.js, Microsoft, el Centro Canadiense de Ciberseguridad y el recuento de Field Effect del 28 de octubre:",[75,198,199,212],{},[78,200,201],{},[81,202,203,206,209],{},[84,204,205],{},"Producto",[84,207,208],{},"¿Cuándo te afecta?",[84,210,211],{},"Versión corregida",[91,213,214,225,239,250,269,280,291,302,319,330,341],{},[81,215,216,219,222],{},[96,217,218],{},"Node.js 22, 24 y 26",[96,220,221],{},"Si descomprime Brotli que llega de fuera",[96,223,224],{},"22.23.4, 24.22.1 y 26.12.1",[81,226,227,230,233],{},[96,228,229],{},"Node.js 20, 23 y 25",[96,231,232],{},"Igual que arriba",[96,234,235,238],{},[16,236,237],{},"Sin parche",": están fuera de soporte, hay que migrar",[81,240,241,244,247],{},[96,242,243],{},".NET 8, 9 y 10",[96,245,246],{},"Descompresión en ASP.NET Core, HttpClient o System.IO.Compression",[96,248,249],{},"8.0.33, 9.0.22 y 10.0.14 (y 11.0 RC3)",[81,251,252,255,266],{},[96,253,254],{},"PowerShell 7.4, 7.5 y 7.6",[96,256,257,261,262,265],{},[258,259,260],"code",{},"Invoke-WebRequest"," o ",[258,263,264],{},"Invoke-RestMethod"," contra sitios sin SSL o ajenos",[96,267,268],{},"7.4.22, 7.5.13 y 7.6.9",[81,270,271,274,277],{},[96,272,273],{},"Visual Studio 2017, 2019, 2022 y 2026",[96,275,276],{},"Equipos de desarrollo",[96,278,279],{},"Actualizaciones de seguridad del 25 de octubre",[81,281,282,285,288],{},[96,283,284],{},"Bun",[96,286,287],{},"Aplicaciones sobre Bun",[96,289,290],{},"1.4.4",[81,292,293,296,299],{},[96,294,295],{},"Istio",[96,297,298],{},"Con filtro de descompresión Brotli",[96,300,301],{},"1.29.9, 1.30.6 y 1.31.2",[81,303,304,307,310],{},[96,305,306],{},"Envoy Proxy",[96,308,309],{},"Con el descompresor Brotli configurado",[96,311,312,313,318],{},"1.40.0, 1.39.3, 1.38.6, 1.37.8 y 1.36.12 (",[21,314,317],{"href":315,"rel":316},"https://github.com/envoyproxy/envoy/security/advisories/GHSA-3wvj-j6qm-62mr",[71],"aviso del proyecto",")",[81,320,321,324,327],{},[96,322,323],{},"Red Hat Enterprise Linux 9",[96,325,326],{},"Paquete brotli del sistema",[96,328,329],{},"1.0.9-10.el9_8.1",[81,331,332,335,338],{},[96,333,334],{},"MuPDF",[96,336,337],{},"Lectura de PDF",[96,339,340],{},"1.28.0",[81,342,343,346,349],{},[96,344,345],{},"PAN-OS 11.2, 12.1 y 12.2",[96,347,348],{},"Solo con descifrado TLS e inspección Brotli encendidos",[96,350,351],{},"Ver el aviso de Palo Alto",[12,353,354,355,360,361,364],{},"Ojo: Node.js ",[21,356,359],{"href":357,"rel":358},"https://nodejs.org/en/blog/vulnerability/november-2026-security-releases",[71],"preanunció más parches de seguridad"," para el ",[16,362,363],{},"miércoles 11 de noviembre"," en las ramas 22, 24 y 26, sin decir si tocan Brotli. Actualiza ya y repite esa semana.",[12,366,367,368,371,372,375],{},"Microsoft sacó los parches de .NET ",[16,369,370],{},"fuera de ciclo",", un domingo, y aclara que la descompresión Brotli ",[16,373,374],{},"no viene activada"," de fábrica en .NET ni ASP.NET Core; pero muchos sistemas a la medida la activan para ahorrar ancho de banda.",[12,377,378,379,382],{},"Field Effect listaba ",[16,380,381],{},"sin corrección"," al 28 de octubre: DuckDB (arreglo en proceso), compilaciones de Apache Arrow, 7-Zip-zstd, p7zip y FFmpeg con una libjxl afectada. Importa si procesas archivos de clientes o proveedores.",[384,385,388],"callout",{"icon":386,"title":387},"i-lucide-info","Tener Brotli instalado no es estar expuesto",[12,389,390,391,394],{},"Como resume Rapid7, el riesgo está en las aplicaciones que ",[16,392,393],{},"descomprimen datos que controla un atacante",": una API que acepta peticiones comprimidas, un servicio que descarga respuestas de terceros o un proceso que abre archivos subidos. Empieza por ahí.",[56,396,398],{"id":397},"la-trampa-de-las-copias-empacadas","La trampa de las copias empacadas",[12,400,401,402,405,406,410],{},"En Linux, actualizar el paquete del sistema no alcanza: Node.js, .NET, PowerShell y Bun traen ",[16,403,404],{},"su propia copia de Brotli",". Lo mismo con Docker: un contenedor construido hace un mes sigue llevando la versión vieja aunque el anfitrión esté al día. Es el problema que vimos con las ",[21,407,409],{"href":408},"/blog/noticias/alpine-3-21-python-3-10-sin-parches-contenedores","imágenes basadas en Alpine 3.21",".",[56,412,414],{"id":413},"qué-hacer-antes-del-martes-10","Qué hacer antes del martes 10",[416,417,418,436,442,448,454,464,470],"ol",{},[153,419,420,423,424,427,428,431,432,435],{},[16,421,422],{},"Haz inventario."," En cada servidor, corre ",[258,425,426],{},"node -v",", ",[258,429,430],{},"dotnet --list-runtimes"," y ",[258,433,434],{},"pwsh -v",", y anota de qué imagen base salen tus contenedores. Pregunta a tu proveedor si su ERP web, portal o tienda usa Node.js o .NET por dentro.",[153,437,438,441],{},[16,439,440],{},"Actualiza a las versiones de la tabla",", primero lo expuesto a internet y lo que procesa archivos de terceros.",[153,443,444,447],{},[16,445,446],{},"Reinicia los procesos."," Si el servicio sigue corriendo, la librería vieja sigue en memoria.",[153,449,450,453],{},[16,451,452],{},"Reconstruye y vuelve a desplegar los contenedores"," con imágenes base actualizadas.",[153,455,456,459,460,463],{},[16,457,458],{},"Si no puedes parchar hoy",", bloquea en el proxy o el firewall las peticiones con ",[258,461,462],{},"Content-Encoding: br",", o desactiva la descompresión Brotli en la aplicación.",[153,465,466,469],{},[16,467,468],{},"Migra lo que ya no tiene soporte."," Node.js 20 no recibirá este parche, y .NET 8 y 9 dejan de recibir parches el mismo 10 de noviembre.",[153,471,472,475,476,480],{},[16,473,474],{},"Vigila caídas raras:"," reinicios inesperados, volcados de memoria o errores al procesar archivos. Una herramienta de ",[21,477,479],{"href":478},"/blog/comparativa/edr-vs-antivirus","EDR"," ayuda a detectarlos.",[56,482,484],{"id":483},"contexto","Contexto",[12,486,487,488,492],{},"Octubre fue pesado para las librerías que nadie ve: PHP2Shell, Brotli y, al cierre del mes, una ",[21,489,491],{"href":490},"/blog/noticias/kernel-linux-cve-2026-98432-tcp-remota-critica-fragnesia","vulnerabilidad remota en el kernel de Linux",". Sin inventario de las piezas que trae tu software por dentro, cada aviso es una búsqueda a ciegas.",[12,494,495],{},"Fuentes: alerta AL26-027 del Centro Canadiense de Ciberseguridad (28 de octubre), BleepingComputer (26 de octubre), catálogo KEV de CISA, Help Net Security (27 y 28 de octubre), Field Effect (28 de octubre), SecurityWeek, The Hacker News, la guía MSRC de Microsoft, el aviso del proyecto PowerShell y el registro oficial de la CVE.",[497,498],"call-to-action",{"description":499,"eyebrow":500,"icon":501,"label":502,"title":503,"to":504},"Inventariamos Node.js, .NET, PowerShell y contenedores en tu empresa, aplicamos las versiones corregidas y te dejamos un proceso para las próximas fallas de librerías.","Ciberseguridad","i-lucide-shield-alert","Agendar revisión","Encuentra Brotli antes que los atacantes","/contacto",{"title":506,"searchDepth":507,"depth":508,"links":509},"",2,3,[510,511,512,513,514,515],{"id":58,"depth":507,"text":59},{"id":144,"depth":507,"text":145},{"id":192,"depth":507,"text":193},{"id":397,"depth":507,"text":398},{"id":413,"depth":507,"text":414},{"id":483,"depth":507,"text":484},"noticias",{"title":518,"description":519,"label":520,"to":521,"icon":501},"¿Sabes dónde vive Brotli en tus servidores?","Hacemos el inventario de Node.js, .NET, PowerShell y contenedores en tu empresa, aplicamos las versiones corregidas y dejamos un proceso para la próxima falla de librería.","Ver servicio de ciberseguridad","/servicios/ciberseguridad","2026-11-07","La falla CVE-2026-111497 de Brotli ya se explota y CISA fija el 10 de noviembre. Afecta a Node.js, .NET, PowerShell, Bun, Istio y más. Versiones y qué revisar.",false,"md",[527,530,533,536],{"question":528,"answer":529},"¿Qué es Node2Shell?","Es el apodo de CVE-2026-111497, una escritura fuera de límites en el descompresor de Brotli, la librería de compresión de Google. También la llaman Broccoli2Shell, HTTP2Shell o Brotli2Shell. Un atacante sin credenciales puede mandar datos comprimidos manipulados para tumbar el proceso, leer memoria y, en algunos casos, ejecutar código.",{"question":531,"answer":532},"¿Qué versiones corrigen la falla?","Brotli 1.2.1, 1.1.1 y 1.0.10. En Node.js, 26.12.1, 24.22.1 y 22.23.4. En .NET, 8.0.33, 9.0.22 y 10.0.14. En PowerShell, 7.4.22, 7.5.13 y 7.6.9. Node.js 20, 23 y 25 ya no tienen soporte y no recibirán parche.",{"question":534,"answer":535},"Si actualizo el paquete brotli de mi Linux, ¿ya quedé?","No necesariamente. Muchos programas traen su propia copia de Brotli adentro (Node.js, .NET, Bun y varias herramientas de compresión, entre otros). Actualizar la librería del sistema no corrige esas copias: hay que actualizar cada programa, reiniciar sus procesos y reconstruir las imágenes de contenedor.",{"question":537,"answer":538},"¿El plazo del 10 de noviembre me obliga a mí?","No legalmente. Es el plazo que CISA fija a las dependencias federales de Estados Unidos al meter la falla a su catálogo de vulnerabilidades explotadas (KEV). Pero es una buena regla para cualquier empresa: si CISA confirma ataques, conviene parchar en esos días.",null,"/images/blog/noticias/node2shell-brotli-cve-2026-111497-plazo-cisa-10-noviembre.jpg","Consola de un servidor mostrando las versiones instaladas de Node.js, .NET y PowerShell junto a una lista de actualizaciones pendientes","informational",[544,545,546,547],"node2shell brotli","cve-2026-111497","brotli vulnerabilidad node.js .net","broccoli2shell actualizar",{},true,"/blog/noticias/node2shell-brotli-cve-2026-111497-plazo-cisa-10-noviembre","2026-11-07T08:15:00-06:00",6,{"title":5,"description":523},"Node2Shell (Brotli): actualiza antes del 10 de noviembre","blog/noticias/node2shell-brotli-cve-2026-111497-plazo-cisa-10-noviembre",[557,558,559,560],"ciberseguridad","vulnerabilidades","servidores","desarrollo de software","DZr99A9DXy3qglwGurMOfhgQjokIcK3GSD8E0T5HngM",{"path":563,"title":564},"/blog/noticias/vmware-esx-cve-2026-41709-registro-kev-11-noviembre","VMware ESX: una falla que deja actuar a un administrador sin dejar rastro ya se explota; CISA fija el 11 de noviembre",{"path":566,"title":567},"/blog/noticias/fortianalyzer-fortimanager-fin-soporte-30-diciembre-bitacoras","FortiAnalyzer y FortiManager: tres modelos se quedan sin soporte el 30 de diciembre y varios más ya vencieron en julio",[569,577,583],{"path":570,"title":571,"description":572,"date":573,"category":516,"image":574,"imageAlt":575,"readingTime":576},"/blog/noticias/patch-tuesday-noviembre-2026-hotpatch-server-2022-reinicio-vpn","Patch Tuesday del 10 de noviembre: Windows Server 2022 con hotpatch sí reinicia y el arreglo de Always On VPN llega con retraso","El 10 de noviembre los servidores Windows Server 2022 con hotpatch deben reiniciar, y en diciembre también. Always On VPN ya tiene arreglo. Qué preparar.","2026-11-09","/images/blog/noticias/patch-tuesday-noviembre-2026-hotpatch-server-2022-reinicio-vpn.jpg","Rack de servidores en un cuarto de TI con un monitor que muestra una ventana de mantenimiento programada para reiniciar después de instalar actualizaciones",5,{"path":578,"title":579,"description":580,"date":573,"category":516,"image":581,"imageAlt":582,"readingTime":576},"/blog/noticias/gemini-2-5-pro-flash-apagado-1-diciembre-redireccion-automatica","Gemini 2.5 Pro y 2.5 Flash dejan de existir en la API el 1 de diciembre: Google mandará tus llamadas a otro modelo sin preguntar","Desde el 1 de diciembre, la API de Gemini manda las llamadas de 2.5 Pro a 3.8 Flash y las de 2.5 Flash a 3.5 Flash-Lite, con su precio. Qué revisar.","/images/blog/noticias/gemini-2-5-pro-flash-apagado-1-diciembre-redireccion-automatica.jpg","Editor de código con una llamada a la API de Gemini y una flecha que desvía la petición de un modelo a otro",{"path":584,"title":585,"description":586,"date":573,"category":516,"image":587,"imageAlt":588,"readingTime":576},"/blog/noticias/dynamics-nav-2017-fin-soporte-11-enero-business-central","Dynamics NAV 2017 se queda sin soporte el 11 de enero de 2027: el camino a Business Central tiene tres escalas","Microsoft termina el soporte extendido de Dynamics NAV 2017 el 11 de enero de 2027. NAV 2016 ya venció y NAV 2018 sigue un año. Rutas, costos y qué decidir.","/images/blog/noticias/dynamics-nav-2017-fin-soporte-11-enero-business-central.jpg","Pantalla de un ERP antiguo con menús grises junto a una laptop con un tablero moderno de Business Central, sobre un escritorio de contabilidad",{"id":590,"avatar":539,"bio":591,"entityType":592,"expertise":593,"extension":594,"meta":595,"name":6,"role":596,"slug":597,"social":539,"stem":598,"url":7,"__hash__":599},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]