Una falla en Brotli permite la ejecución remota de código sin autenticación en Node.js, Bun, Envoy y curl

OpenAI afirma que su ejercicio de red teaming con alto uso de cómputo también detectó una vulnerabilidad en Brotli, la biblioteca de compresión integrada en Node.js, Bun, Envoy y muchos otros programas. Está identificada como CVE-2026-111497.

Lo que afirma OpenAI:

• La falla permite la ejecución remota de código sin autenticación mediante datos comprimidos maliciosos. Un servidor sin parche que acepte entradas comprimidas podría quedar bajo el control de un cliente malicioso, y un cliente sin parche que acepte entradas comprimidas (por ejemplo, curl --compressed) podría quedar bajo el control de un servidor malicioso.
• La causa raíz se corrigió en el código fuente de Brotli en febrero, pero nadie sabía que se trataba de una vulnerabilidad de seguridad y no hubo ningún lanzamiento posterior. Como Brotli está integrado en otros programas, cada proyecto que lo incluye tiene que adoptar la actualización, y luego también sus usuarios.
• OpenAI comunicó la falla a Brotli y a proyectos dependientes, como Node.js. Afirma que estos ya publicaron o están publicando actualizaciones de seguridad, y que Brotli lanzó nuevas versiones y publicó el CVE. Los detalles y las medidas de mitigación están en patchtheplanet.org/brotli.

Lo que afirma Aikido Security: la falla, detectada primero en Node.js y Python, afecta a muchas bibliotecas y aplicaciones que usan HTTP, y la denomina «HTTP2Shell». Aún no hay correcciones disponibles para todos los servicios afectados; recomienda estar atentos a las actualizaciones de dependencias a Brotli 1.2.1 a medida que aparezcan. Aikido enumera los parches publicados hasta ahora para libbrotli, Python, C++, Node.js y Envoy (el aviso de seguridad propio de Envoy es GHSA-3wvj-j6qm-62mr) y afirma que habrá más.