Una falla en Brotli permite la ejecución remota de código sin autenticación en Node.js, Bun, Envoy y curl

OpenAI afirma que su ejercicio de red teaming con alto poder de cómputo también detectó una vulnerabilidad en Brotli, la biblioteca de compresión integrada en Node.js, Bun, Envoy y muchos otros programas. Está registrada como CVE-2026-111497.

Lo que dice OpenAI:

• La falla permite la ejecución remota de código sin autenticación mediante datos comprimidos maliciosos. Un servidor sin parche que acepte datos comprimidos podría ser tomado por un cliente malicioso; también podría ser tomado por un servidor malicioso un cliente sin parche que acepte datos comprimidos (por ejemplo, curl --compressed).
• La causa raíz se corrigió en el código fuente de Brotli en febrero, pero nadie sabía que se trataba de una vulnerabilidad de seguridad y no se publicó ninguna versión nueva. Como Brotli está incluido en otros programas, todos los proyectos que lo incorporan deben adoptar la actualización, y luego también sus usuarios.
• OpenAI divulgó la falla a Brotli y a proyectos que lo integran, como Node.js. Afirma que estos han publicado o están publicando actualizaciones de seguridad, y que Brotli lanzó nuevas versiones y publicó el CVE. Los detalles y las medidas de mitigación están en patchtheplanet.org/brotli.

Lo que dice Aikido Security: la falla, detectada primero en Node.js y Python, afecta a muchas bibliotecas y aplicaciones que usan HTTP, y la denomina «HTTP2Shell». Todavía no hay soluciones disponibles para todos los servicios afectados; recomienda estar atentos a las actualizaciones de dependencias a Brotli 1.2.1 a medida que vayan apareciendo. Aikido enumera los parches publicados hasta ahora para libbrotli, Python, C++, Node.js y Envoy (el aviso de Envoy es GHSA-3wvj-j6qm-62mr) y afirma que habrá más.