Saltar al contenido

SeguridadNode.js / Google Brotli

Corregida

Node.js corrige un RCE en el decodificador Brotli (CVE-2026-111497), ya en la lista de CISA, y evasiones de TLS

Anuncio oficial de Node.js / Google Brotli (se abre en una pestaña nueva)Evaluaciones y recursos

Node.js en resumen

Node.js 26.12.1, 24.22.1 y 22.23.4 (21 de octubre de 2026) corrigen diez CVE; la principal es una escritura fuera de límites en el decodificador Brotli incluido, que CISA agregó el 27 de octubre a su catálogo de vulnerabilidades explotadas. Bun, Envoy, Istio, Python, .NET y PHP para Windows también publicaron parches.

Node.js: estado

CorregidaCrítica
Afectado
  • Node.js 26.x antes de 26.12.1, 24.x antes de 24.22.1 y 22.x antes de 22.23.4; las versiones sin soporte también están afectadas
  • Google Brotli 1.0.3 a 1.2.0 (corregido en 1.0.10, 1.1.1 y 1.2.1)
  • Software que incluye el decodificador Brotli, como Bun antes de 1.4.4, Envoy Proxy e Istio configurados para descomprimir Brotli, Python brotli y brotlicffi, .NET 8, 9 y 10, y las compilaciones de PHP para Windows
Estado al
Detectada por
Error de Brotli: Khai Tran y Sylvie Mayer, OpenAI Codex Security (según el aviso de Node.js y el registro CVE); errores de TLS y DNS: investigadores independientes

Qué cambió con Node.js

El 21 de octubre de 2026, Node.js lanzó 26.12.1, 24.22.1 y 22.23.4 para corregir diez vulnerabilidades. La más grave, CVE-2026-111497, está en el decodificador Brotli que Node.js trae incluido: una entrada comprimida malformada puede escribir más allá de un búfer interno, y Node.js explica que un atacante capaz de hacer que una app descomprima datos Brotli con node:zlib podría tumbarla, leer memoria del proceso o ejecutar código. Google, que mantiene Brotli, le asigna 9.2 en CVSS 4.0 (crítica) y publicó Brotli 1.2.1, 1.1.1 y 1.0.10. CISA agregó el CVE a su catálogo de vulnerabilidades explotadas el 27 de octubre, con plazo al 10 de noviembre para las agencias federales de EE. UU.

La misma versión corrige otras tres fallas de severidad alta: verificaciones de nombre de host en TLS que podían aceptar un certificado para otra dirección IP cuando el host se escribe con dígitos de ancho completo (CVE-2026-105483) o con un cero inicial como 0127.0.0.1 (CVE-2026-106069), y el truncamiento por caracteres NUL en dns.resolve y dns.reverse (CVE-2026-105482). También se corrigen seis problemas de severidad media y baja, y Node.js recuerda que las versiones sin soporte siempre quedan afectadas. El hallazgo de Brotli se atribuye a Khai Tran y Sylvie Mayer, de OpenAI Codex Security; los avisos oficiales no aclaran qué papel tuvo la IA en descubrirlo.

Brotli está integrado mucho más allá de Node.js. La página Patch the Planet de OpenAI enumera versiones corregidas de Bun 1.4.4, Envoy Proxy 1.40.0, 1.39.3, 1.38.6 y 1.37.8, e Istio 1.31.2, 1.30.6 y 1.29.9. Los paquetes de Python brotli 1.2.1 y brotlicffi 1.2.1.0 ya están corregidos, Microsoft parchó .NET 8.0.33, 9.0.22 y 10.0.14 (las apps autocontenidas y NativeAOT deben recompilarse) y PHP publicó las compilaciones para Windows 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1, donde el decodificador se alcanza con la descompresión automática de cURL. Si no puedes parchar de inmediato, deja de decodificar datos Brotli no confiables; en Next.js esa guía incluye activar images.unoptimized hasta actualizar Node.js.

Cómo corregirlo: Node.js

  1. 1. Actualizar

    Actualiza Node.js a 26.12.1, 24.22.1 o 22.23.4 (o una versión posterior de la misma línea) y luego reinicia o vuelve a desplegar cada proceso que lo use.

    nodejs.org (se abre en una pestaña nueva)

  2. 2. Actualizar

    Actualiza otro software que incluya Brotli: Bun 1.4.4, una versión corregida y con soporte de Envoy Proxy o Istio, Python brotli 1.2.1 o brotlicffi 1.2.1.0, y Brotli 1.2.1, 1.1.1 o 1.0.10 en compilaciones nativas. Vuelve a generar imágenes de contenedor y binarios estáticos.

    patchtheplanet.org (se abre en una pestaña nueva)

  3. 3. Actualizar

    En .NET, instala 8.0.33, 9.0.22 o 10.0.14; recompila y vuelve a publicar las apps autocontenidas y NativeAOT.

    github.com (se abre en una pestaña nueva)

  4. 4. Actualizar

    En PHP para Windows, instala los paquetes recompilados 8.5.12-1, 8.4.27-1, 8.3.36-1 u 8.2.35-1, que incluyen Brotli 1.2.1.

    php.net (se abre en una pestaña nueva)

  5. 5. Solución temporal

    Mientras parchas, deja de decodificar datos Brotli no confiables: rechaza Content-Encoding br antes de cualquier parser, desactiva la descompresión automática de Brotli en clientes HTTP y, en Next.js, activa images.unoptimized para que el optimizador deje de descargar y decodificar imágenes remotas.

    patchtheplanet.org (se abre en una pestaña nueva)

  6. 6. Vigilar

    CISA clasifica CVE-2026-111497 como explotada activamente. Prioriza los servicios expuestos a internet y vigila caídas inesperadas o comportamientos extraños de los procesos.

    cisa.gov (se abre en una pestaña nueva)

Avisos de seguridad

Dónde comparar Node.js

Clasificaciones independientes y recursos oficiales para comparar este modelo por tu cuenta. Las posiciones cambian con frecuencia; cada sitio muestra sus datos actuales.

Por qué Node.js importa para los negocios

Casi todo producto de IA corre Node.js en algún punto: widgets de chat, receptores de webhooks, servidores MCP, back ends de agentes y front ends con Next.js que descargan contenido remoto. Cualquiera que acepte o descargue datos comprimidos con Brotli desde fuera está en riesgo, y actualizar el paquete Brotli del sistema operativo no corrige un runtime que trae su propia copia. Actualiza cada runtime e imagen de contenedor, reinicia o vuelve a desplegar cada proceso y confirma la versión que realmente está corriendo, no solo la instalada.

Fuentes de esta noticia

  1. Wednesday, October 21, 2026 Security Releases (se abre en una pestaña nueva)

    Node.js · nodejs.org

    Oficial
  2. Brotli v1.2.1 release (se abre en una pestaña nueva)

    Google Brotli on GitHub · github.com

    Oficial
  3. CVE-2026-111497: Out-of-Bounds Write in Google Brotli Decoder (se abre en una pestaña nueva)

    CVE Program · cve.org

    Oficial
  4. Known Exploited Vulnerabilities Catalog (se abre en una pestaña nueva)

    CISA · cisa.gov

    Oficial
  5. Brotli vulnerability (CVE-2026-111497) (se abre en una pestaña nueva)

    Patch the Planet (OpenAI) · patchtheplanet.org

    Oficial
  6. Microsoft Security Advisory CVE-2026-111497: .NET Brotli Decoder Out-of-bounds Write (se abre en una pestaña nueva)

    Microsoft .NET · github.com

    Oficial
  7. Updated PHP Windows builds for Brotli security fix (se abre en una pestaña nueva)

    PHP · php.net

    Oficial
  8. AL26-027: Critical vulnerability impacting Google Brotli (se abre en una pestaña nueva)

    Canadian Centre for Cyber Security · cyber.gc.ca

    Oficial
  9. Brotli Decoder Flaw Behind Node.js RCE Also Affects Bun, Python and Other Widely Used Software (se abre en una pestaña nueva)

    The Hacker News · thehackernews.com

    Prensa

Última verificación: . IA Compa resume anuncios públicos para lectores de negocios. No tenemos relación con las empresas mencionadas. Confirma siempre los detalles, precios y disponibilidad con la fuente oficial.

  • #security
  • #cve
  • #nodejs
  • #brotli
  • #known-exploited
  • #supply-chain
  • #nextjs

Noticias relacionadas

¿Quieres aplicarlo en tu negocio?

Convertimos las nuevas capacidades de IA en agentes, recepcionistas de voz y automatizaciones que realmente puedes usar.

Cuéntanos sobre tu proyectoEnvía el proyecto de un cliente de tu agencia