La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) añadió el martes 27 de octubre Node2Shell (CVE-2026-111497) a su catálogo de vulnerabilidades explotadas conocidas (KEV). Es la confirmación oficial de que hay ataques reales contra el fallo del descompresor Brotli. Las agencias civiles del gobierno federal tienen hasta el 10 de noviembre para corregirlo, y los primeros intentos registrados apuntan a servidores Node.js.
El 24 de octubre contamos que un fallo en Brotli, el formato de compresión de Google que usa buena parte de la web, permitía corromper la memoria de un programa con un archivo comprimido manipulado. Lo descubrió el equipo de seguridad de OpenAI, tiene una gravedad de 9.2 sobre 10 y afecta a todo lo que lleve dentro una copia de la biblioteca, de Node.js a Python, Bun o Envoy. Entonces no constaban ataques. Una semana después, la situación ha cambiado.
Es el mismo camino que siguió PHP2Shell, que entró en el catálogo KEV un día antes: parche, prueba de concepto pública y ataques en pocos días. La alerta de CISA incluye además otro fallo, de Adobe Commerce y Magento (CVE-2026-48356), que permite subir archivos peligrosos.
Claves de lo que se sabe esta semana
- Qué dice CISA: registra el fallo como «Google Brotli Unchecked Return Value Vulnerability» y lo vincula a su directiva BOD 26-04. No ha dado detalles de los ataques, y marca como «desconocido» si lo usan grupos de ransomware. El plazo solo obliga a las agencias federales, pero CISA pide a todas las organizaciones que den prioridad a los fallos del catálogo.
- El primer ataque, captado por ELLIO: la red de sensores de la empresa ELLIO registró el 26 de octubre una petición maliciosa dirigida a Node.js 24.22.0 en equipos x86-64. La misma dirección IP había atacado antes PHP2Shell y sondeado VPN de Palo Alto Networks y Fortinet. Para ELLIO, es una señal de que el fallo lo ha adoptado «un operador centrado en la explotación masiva».
- Un ataque que, de momento, falla: según ELLIO, ese exploit estaba roto. Las piezas coincidían con el código de prueba publicado, pero en 50 pruebas no consiguió ejecutar código ni una vez. Lo que sí hace es tumbar el proceso de Node.js, es decir, sirve para dejar un servicio fuera de línea.
- Pero el ataque completo es posible: la propia ELLIO logró ejecutar código en cuatro configuraciones con compilaciones oficiales de Node.js en x86-64, y el equipo rojo de Imperva lo hizo en la imagen oficial de Node.js 24.22.0 para Linux arm64, aunque necesitó varios intentos. Imperva no ha publicado su código.
- Más intentos en servidores trampa: la empresa Previdian registró el 27 de octubre otro intento desde una dirección de Estados Unidos, y aclara que eso «no significa que el intento tuviera éxito».
- VMware, sin parche: Broadcom avisó el 27 de octubre de que SDDC Manager, de VMware Cloud Foundation y vSphere Foundation, es vulnerable porque usa Node.js. Le da un 9.8 sobre 10 en la versión 9.1.1 y un 7.5 en las 9.0.x, 9.1.0 y 5.2.x. Los parches están pendientes; por ahora solo hay medidas temporales.
- La lista de afectados crece: además de Node.js, Python, Bun y Envoy, han publicado correcciones Microsoft, para .NET entre otros productos, e Istio, y Palo Alto Networks está distribuyendo parches para PAN-OS. Tenable añade FFmpeg, Apache Arrow y ClickHouse a la lista de programas con Brotli dentro.
Ocho meses a la vista de todos
Lo más incómodo de Node2Shell es el calendario. Según Help Net Security, la corrección se subió al repositorio público de Brotli el 27 de febrero, sin versión nueva ni aviso de seguridad, y estuvo ocho meses a la vista de cualquiera que leyera los cambios. Las versiones corregidas no llegaron hasta el 21 de octubre, y seis días después ya había ataques. Es el problema de las bibliotecas que van incluidas dentro de otros programas: el arreglo existe, pero no protege a nadie hasta que cada proyecto lo incorpora y cada administrador lo instala.
Para quien tiene servidores Node.js, el consejo es el mismo de hace una semana, pero ya sin margen. Comprueba la versión con node -v y actualiza a 22.23.4, 24.22.1 o 26.12.1. Las ramas 20, 23 y 25 ya no tienen soporte y no recibirán el parche, así que hay que migrar. Los servicios más expuestos son los que aceptan cuerpos de petición comprimidos con Brotli, como las aplicaciones con Express 5 y body-parser 2, y los que descargan datos de servidores ajenos. No olvides las imágenes de Docker con una versión fija de Node.js: hay que cambiar esa línea, reconstruirlas y volver a desplegarlas. Y si usas VMware SDDC Manager, aplica las medidas temporales de Broadcom mientras llega el parche.
Que el exploit que circula aún no funcione es una buena noticia a medias. Varios equipos ya han demostrado que el ataque completo es posible, y quien está lanzando los intentos tiene experiencia con PHP2Shell. Lo normal es que el exploit mejore en los próximos días, así que el plazo de CISA debería tomarse como el límite máximo, no como el objetivo.
Más fuentes: SecurityWeek, «CISA Warns of Node2Shell Exploitation as Honeypots Log Attack Attempts» (plazo, ELLIO, Previdian, Imperva y Broadcom) y Help Net Security, «Brotli bug reaches far beyond Node.js» (calendario de la corrección, ramas sin soporte y lista de Tenable). Logotipos de Brotli, Node.js y CISA: Wikimedia Commons.
Fuente: CISA, «CISA Adds Two Known Exploited Vulnerabilities to Catalog», 27 de octubre de 2026