Node.js corrige un fallo en Brotli que abre la puerta a ejecución remota de código

Un fallo de alta severidad en el decodificador Brotli de Node.js puede provocar una escritura fuera de límites y acabar en ejecución remota de código al procesar datos manipulados. Node.js ya ha publicado versiones corregidas para las ramas soportadas: 22.23.4, 24.22.1 y 26.12.1.

La última tanda de parches de seguridad de Node.js, publicada el 21 de octubre de 2026, corrige un defecto serio en el decodificador Brotli que puede desembocar en ejecución remota de código. El problema aparece cuando un proceso decodifica contenido Brotli que un atacante consigue controlar, un escenario más habitual de lo que parece en servicios que aceptan respuestas comprimidas o manejan contenido enviado por terceros.

El núcleo del fallo reside en una escritura fuera de límites dentro del decodificador Brotli incluido con Node. Este tipo de vulnerabilidades entra en la categoría de corrupción de memoria: el proceso termina escribiendo donde no debe y, en condiciones favorables para el atacante, eso abre la puerta a ejecutar código arbitrario. La incidencia figura como CVE-2026-111497 y se cataloga con severidad alta.

La vulnerabilidad afecta a todas las ramas actualmente soportadas antes de los parches, es decir, Node.js 22.x, 24.x y 26.x. Las versiones que incorporan la corrección son Node.js 22.23.4, 24.22.1 y 26.12.1. Quien mantenga servicios en ramas fuera de soporte lo tiene peor: 18.x, 20.x, 23.x y 25.x quedan fuera de la cobertura oficial, así que no recibirán actualización de seguridad y la salida práctica pasa por migrar a una rama con mantenimiento y volver a desplegar.

El alcance no se limita al binario ‘oficial’. El aviso también señala un matiz relevante para entornos corporativos y distribuciones Linux: si alguien compila Node.js enlazándolo contra un Brotli del sistema que aún no incluye el arreglo upstream, el riesgo puede persistir. En esos casos conviene comprobar que la dependencia de Brotli incorpora el fix identificado como 0ed4268.

Más allá de Brotli, el mismo lanzamiento de seguridad arregla otras incidencias, con mención expresa a problemas de severidad alta ligados a la validación de hostnames en TLS. Para equipos de operaciones, la recomendación es directa: inventariar qué servicios aceptan o procesan contenido Brotli, priorizar los que puedan decodificar datos controlados por terceros y actualizar cuanto antes. También merece revisión el ‘lado oculto’ del despliegue: imágenes de contenedor, runners de CI y entornos locales, porque una versión antigua en cualquiera de esos puntos puede reintroducir el problema en la cadena de entrega de software.

Más información

• Node.js Project – Wednesday, October 21, 2026 Security Releases : https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
• Patchstack – Node.js 22.23.4 / 24.22.1 / 26.12.1 out-of-bounds write in the bundled Brotli decoder leading to remote code execution : https://patchstack.com/database/npm/npm/nodejs/vulnerability/node-js-22-23-4-24-22-1-26-12-1-out-of-bounds-write-in-the-bundled-brotli-decoder-leading-to-remote-code-execution
• Convika – Node.js security release (October 2026): Brotli decoder RCE (CVE-2026-111497) and more : https://convika.com/blog/nodejs-security-release-2026-10-brotli/

La entrada Node.js corrige un fallo en Brotli que abre la puerta a ejecución remota de código se publicó primero en Una Al Día.