Qué ha cambiado esta semana
CVE-2026-111497 ha pasado a ser una prioridad operativa porque la vulnerabilidad aparece en el catálogo de Known Exploited Vulnerabilities de CISA desde el 27 de octubre y los investigadores de Sophos han informado de explotación activa. El fallo está en Brotli, una biblioteca de compresión utilizada por distintos productos y runtimes. Node.js publicó sus actualizaciones de seguridad el 21 de octubre; por tanto, la novedad no es que haya aparecido un parche hoy, sino que el contexto de explotación eleva la urgencia de instalarlo y comprobar qué componentes lo incorporan.
La clasificación de Node.js es alta y el análisis de Sophos sitúa el problema en una puntuación CVSS de 9,2. La valoración no sustituye al análisis de exposición: una aplicación que nunca procesa datos Brotli controlados por un tercero no tiene el mismo camino de ataque que un servicio HTTP, proxy o función que descomprime entradas externas.
Qué hace la vulnerabilidad
El defecto afecta a la gestión de un bloque Brotli malformado. En determinadas condiciones, el decodificador puede tratar una entrada incompleta como si necesitara más datos y terminar escribiendo más allá del búfer interno previsto. El efecto puede ser un cierre del proceso, una divulgación de memoria o la corrupción necesaria para llegar a ejecución de código, según el producto y el contexto en que se utilice la biblioteca.
No hace falta convertir esta explicación en una receta de explotación. Para el inventario defensivo basta con identificar dónde se descomprimen respuestas, cargas comprimidas, archivos o tráfico recibido desde fuera de la organización. La pregunta clave no es solo “¿usa mi aplicación Node?”, sino “¿qué componente procesa Brotli, con qué versión y quién controla la entrada?”.