Node.js corrige un fallo en Brotli que abre la puerta a ejecución remota de código
Una al día (Hispasec) · 22 oct, 15:37
Node.js publica parches de seguridad para corregir un fallo de alta severidad en su decodificador Brotli integrado que puede provocar escritura fuera de límites y ejecución remota de código al procesar datos comprimidos controlados por atacantes. Las versiones corregidas son 22.23.4, 24.22.1 y 26.12.1, lanzadas el 21 de octubre de 2026. Los equipos deben actualizar urgentemente, inventariar servicios que procesan contenido Brotli de terceros e inspeccionar toda la cadena de despliegue, incluidas imágenes de contenedor y entornos CI.
La vulnerabilidad CVE-2026-111497 reside en una escritura fuera de límites dentro del decodificador Brotli de Node.js, un fallo de corrupción de memoria que bajo condiciones favorables permite ejecutar código arbitrario. El riesgo es especialmente relevante en servicios que aceptan respuestas comprimidas o manejan contenido enviado por terceros.
La incidencia afecta a todas las ramas soportadas actualmente: Node.js 22.x, 24.x y 26.x. Las ramas antiguas (18.x, 20.x, 23.x y 25.x) quedan fuera de cobertura oficial y requieren migración. Para entornos corporativos y distribuciones Linux que compilan Node.js enlazándolo contra Brotli del sistema, existe un riesgo adicional si esa dependencia no incluye el fix upstream identificado como 0ed4268. Las operaciones deben priorizar servicios que decodifiquen datos de terceros, revisar contenedores, runners de CI y entornos locales, y actualizar en toda la cadena de entrega de software.
Puntos clave
- CVE-2026-111497, severidad alta en decodificador Brotli de Node.js
- Actualizar a Node.js 22.23.4, 24.22.1 o 26.12.1
- Ramas 18.x, 20.x, 23.x y 25.x sin cobertura oficial; requieren migración
- Verificar que Brotli del sistema incluya fix 0ed4268 si se compila localmente
- Revisar y actualizar contenedores, runners CI y entornos locales en toda la cadena