Microsoft publica parches de emergencia de .NET por HTTP2Shell, la falla crítica de Brotli

CVE-2026-111497 permite corromper memoria con un flujo comprimido manipulado. Ya hay pruebas de concepto públicas, pero no ataques reportados.

Una falla crítica en Brotli, la biblioteca de compresión de Google que usan Node.js, .NET y muchas otras aplicaciones, llevó a varios proveedores a publicar parches de emergencia, informó BleepingComputer el 26 de octubre.

La vulnerabilidad se rastrea como CVE-2026-111497 y también se conoce como Broccoli2Shell y Node2Shell. Afecta las versiones de Brotli 1.0.3 a 1.0.9, 1.1.0 y 1.2.0. Se detectó primero en Node.js y luego los investigadores vieron que el mismo error del decodificador alcanza otras plataformas. El nombre HTTP2Shell alude a clientes y servidores HTTP, aunque el fallo no es exclusivo de HTTP/2.

Es un desbordamiento de búfer: un flujo comprimido manipulado provoca un cambio de bloque inválido que el decodificador interpreta como una petición de más datos, y sigue escribiendo fuera de un búfer interno de ocho bytes. Puede causar caídas, fugas de memoria y, en algunos casos, ejecución remota de código.

El domingo, Microsoft publicó actualizaciones fuera de ciclo para .NET 8, .NET 9, .NET 10 y .NET 11 RC3, y recomendó instalarlas «lo antes posible». «La descompresión Brotli no está habilitada por defecto en una instalación estándar de .NET o ASP.NET Core», aclaró la empresa, que menciona como expuestas las aplicaciones que la activan en ASP.NET Core, HttpClient o System.IO.Compression.

Ya hay pruebas de concepto en GitHub, pero no se han reportado ataques reales. Actualizar la biblioteca del sistema no protege a las aplicaciones que traen su propia copia. Quien no pueda parchear de inmediato debe bloquear solicitudes con compresión Brotli en un proxy o firewall, o desactivar la decodificación.

Fuentes: BleepingComputer: «Critical 'HTTP2Shell' Brotli vulnerability triggers emergency patches», 26 de octubre de 2026; BleepingComputer: «Microsoft releases emergency .NET patches for critical Brotli flaw», 26 de octubre de 2026.