Si tienes servidores con Node.js y todavía no instalas los parches de la semana pasada, ahora es urgente. La agencia de ciberseguridad de Estados Unidos, CISA, confirmó que ya hay atacantes aprovechando Node2Shell, una falla grave en la forma en que se descomprimen ciertos datos.
No solo afecta a Node.js. Cualquier programa que use la biblioteca afectada puede estar expuesto, así que conviene revisar más allá de tus apps de JavaScript.
¿Qué pasó?
El 27 de octubre de 2026, CISA agregó la falla CVE-2026-111497 a su catálogo de vulnerabilidades explotadas, la lista de fallas que ya se usan en ataques reales. Las agencias federales de Estados Unidos tienen hasta el 10 de noviembre para corregirla. CISA no dio detalles de quién está atacando ni contra qué objetivos.
El problema está en Brotli, la biblioteca de compresión de Google que Node.js trae integrada. Una biblioteca es un conjunto de código que otros programas reutilizan. El decodificador de Brotli puede escribir fuera del espacio de memoria que le corresponde cuando recibe datos comprimidos con trampa. También la conocen como Broccoli2Shell o HTTP2Shell.
Según BleepingComputer y SecurityWeek, un atacante sin cuenta ni permisos puede enviar esos datos manipulados. El resultado va desde que el programa se caiga o deje ver partes de su memoria, hasta que, en algunos casos, ejecute código del atacante. SecurityWeek añade que dos empresas de seguridad registraron intentos de ataque en sus trampas para hackers, conocidas como honeypots.
¿Por qué te importa?
Node.js y Google publicaron las correcciones el 21 de octubre, y Microsoft sacó una actualización de emergencia para .NET por la misma falla. Que ahora CISA la marque como explotada significa que el tiempo para parchar con calma ya se acabó.
Además, Brotli está en muchos lugares: servidores web, proxies, clientes HTTP y contenedores. Un contenedor es un paquete que lleva tu app con todo lo que necesita para correr. Si construiste una imagen antes del parche, puede seguir trayendo la versión vulnerable aunque tu computadora ya esté al día.
¿Qué puedes hacer?
- Actualiza Node.js a la versión más reciente de tu rama y revisa los avisos de seguridad de otros programas que usen Brotli.
- Instala la actualización de .NET si tus servidores la usan.
- Después de actualizar, reinicia los procesos y vuelve a construir y desplegar tus imágenes de contenedor.
- Si no puedes parchar hoy, bloquea en tu proxy o firewall las peticiones comprimidas con Brotli, o desactiva su descompresión mientras tanto.
- Revisa tus registros en busca de caídas inesperadas de procesos de Node.js en los últimos días.
Sigue leyendo
- Node.js corrige 10 fallas y una permite ejecutar código: actualiza
- PHP2Shell ya se usa en ataques: actualiza PHP hoy mismo
Fuentes
- BleepingComputer: CISA warns of hackers now exploiting critical Node2Shell flaw
- SecurityWeek: CISA Warns of Node2Shell Exploitation as Honeypots Log Attack Attempts