Node.js corrige una RCE en Brotli y nueve fallas adicionales en tres ramas soportadas
Node.js corrige una RCE en Brotli y nueve fallas adicionales en tres ramas soportadas
Node.js lanzó 22.23.4, 24.22.1 y 26.12.1 para cerrar diez vulnerabilidades; la más grave, CVE-2026-111497, es una escritura fuera de límites en el decodificador Brotli.
Brotli concentra el mayor riesgo
CVE-2026-111497 permite una escritura fuera de límites al procesar entrada Brotli manipulada y el proyecto Node.js la clasifica como alta por su potencial de ejecución remota. Afecta a las ramas 22.x, 24.x y 26.x.
El lote también corrige problemas de validación de nombres en certificados TLS, entradas DNS con bytes nulos, reutilización de sockets HTTP, cachés criptográficas y validación de cabeceras ZIP.
Qué deben hacer los operadores
Las versiones corregidas son Node.js 22.23.4 LTS, 24.22.1 LTS y 26.12.1. Los equipos deben actualizar el runtime de producción y las imágenes base, reconstruir contenedores y comprobar que procesos de larga duración se reiniciaron con el binario nuevo.
Las aplicaciones que aceptan contenido comprimido controlado por usuarios deben recibir prioridad. Si hubo exposición, conviene revisar bloqueos anómalos del proceso y solicitudes Brotli inusuales antes de descartar un intento de explotación.
Fuentes y referencias
Esta publicación es una síntesis original. Consulte las fuentes primarias para información técnica completa y actualizaciones.
- 1
- 2
¿Esta amenaza puede afectar a su empresa?
ENERIT puede ayudarle a evaluar exposición, priorizar remediaciones y fortalecer su operación de ciberseguridad.
Hablar con un especialista