Microsoft lanza un parche de emergencia: Node.js, Python, Bun y .NET en riesgo

Microsoft lanzó con carácter de urgencia actualizaciones de .NET debido a un fallo peligroso en Brotli que permite atacar aplicaciones mediante datos comprimidos. La vulnerabilidad ya recibió varios nombres llamativos, y los investigadores publicaron ejemplos de explotación funcionales.

El problema CVE-2026-111497 reside en el decodificador Brotli, que recupera los datos tras la compresión. Debido al error, el programa puede escribir información fuera de la memoria asignada. Un flujo especialmente preparado permite provocar fallos, revelar el contenido de la memoria o elevar privilegios. Para iniciar el ataque, el atacante no necesita autenticación.

La vulnerabilidad fue descubierta por el equipo Imperva Red Team. El fallo afectó no solo a productos de Microsoft, sino también a Node.js, Python, Bun y otras plataformas. Los investigadores ya han demostrado la ejecución remota de código en un entorno Node.js vulnerable. El problema se denomina Broccoli2Shell, Node2Shell y HTTP2Shell, aunque todas las denominaciones se refieren al mismo defecto.

Microsoft publicó correcciones fuera de calendario el 25 de octubre. Las versiones seguras de .NET 8, .NET 9 y .NET 10 son 8.0.33, 9.0.22 y 10.0.14, respectivamente. Para la versión preliminar .NET 11 se lanzó Release Candidate 3. La empresa recomienda actualizar lo antes posible, sin esperar la próxima publicación programada de correcciones.

Sin embargo, el peligro no surge en todas las aplicaciones .NET. La configuración predeterminada de ASP.NET Core y de HttpClient no contempla la descompresión automática de Brotli. El riesgo aparece cuando el desarrollador habilita la función manualmente o procesa datos no confiables mediante BrotliStream y BrotliDecoder. El clásico .NET Framework no se ve afectado por la vulnerabilidad.

Actualizar el entorno de ejecución .NET general no siempre resuelve el problema. Si la aplicación incluye una copia propia del entorno de ejecución, los desarrolladores deberán recompilar el programa y publicar una nueva versión. También es necesario reconstruir los contenedores con imágenes corregidas. Se puede comprobar los entornos instalados con el comando dotnet --list-runtimes, pero los componentes integrados en las aplicaciones requieren una verificación aparte.

El paquete de emergencia corrige también otros problemas. CVE-2026-114148 está relacionada con información insegura sobre los propietarios de archivos en algunos archivos Linux de .NET. Además, Microsoft volvió a corregir CVE-2026-70197 y CVE-2026-102870, ya que las actualizaciones del 13 de octubre no solucionaron por completo esos errores.

Según el boletín oficial, los administradores deben actualizar los entornos de ejecución, reiniciar las aplicaciones y comprobar por separado las compilaciones autónomas. Mientras la actualización no esté disponible, se puede desactivar la descompresión de flujos Brotli no confiables. Ya existen ejemplos públicos de explotación, pero no hay confirmación de ataques reales de atacantes a sistemas en producción.

Anteriormente, los especialistas hallaron que el Brotli vulnerable está presente en varios ecosistemas populares. Un error en una biblioteca compartida afectó servidores web, aplicaciones y proxies en la nube. Por eso los administradores deben comprobar no solo los paquetes del sistema, sino también las dependencias de aplicaciones individuales.