Los desarrolladores y las grandes empresas tecnológicas han lanzado parches de seguridad de emergencia para solucionar una vulnerabilidad muy crítica conocida como HTTP2Shell (rastreada bajo el identificador CVE-2026-111497 y conocida también por los nombres Node2Shell y Broccoli2Shell), la cual afecta a la biblioteca de descompresión escrita en C llamada Brotli, integrada en el entorno Node.js y en muchas otras plataformas de software.
La vulnerabilidad afecta a las versiones de Brotli desde la 1.0.3 hasta la 1.0.9, además de las versiones 1.1.0 y 1.2.0. El problema se ha reportado bajo múltiples denominaciones debido a que se descubrió primero en el entorno Node.js antes de aclararse que el mismo fallo en el descompresor Brotli afecta a programas en diversos y variados entornos técnicos.
Alcance del impacto y sistemas afectados
Aunque la denominación HTTP2Shell refleja su posible impacto en clientes y servidores del protocolo HTTP, la vulnerabilidad no se limita exclusivamente a HTTP/2, sino que se extiende a cualquier aplicación que dependa de la descompresión de datos Brotli controlados por los atacantes. Las aplicaciones potencialmente afectadas incluyen:
- El popular entorno de ejecución Node.js.
- Bibliotecas HTTP en Python como urllib3, requests, httpx y aiohttp cuando se configuran para trabajar con un descompresor Brotli afectado.
- Actualizaciones de seguridad de emergencia impulsadas por Microsoft para hacer frente a la vulnerabilidad en la plataforma .NET, dado que su explotación permite la escalada de privilegios en los sistemas vulnerados.
Mecanismo de explotación y efectos técnicos
La vulnerabilidad consiste en un fallo de desbordamiento de búfer (Buffer Overflow), en el que el flujo de datos de Brotli diseñados específicamente activa un proceso de intercambio de bloques no válidos que el descompresor trata como válidos y los interpreta erróneamente como una solicitud de más entradas. Al seguir adjuntando bytes de entrada dentro de un búfer interno de un tamaño de ocho bytes, la escritura supera sus límites permitidos y corrompe la memoria adyacente.
Los informes técnicos emitidos por la empresa de ciberseguridad Imperva explicaron que el éxito en la explotación de esta vulnerabilidad puede provocar la caída de los procesos de software, la divulgación de contenidos sensibles de memoria e incluso la ejecución remota de código (RCE).
¿Qué cambia en la práctica y cómo solucionar el problema?
A pesar de que no existen informes actuales que confirmen la explotación de la vulnerabilidad en ataques cibernéticos reales, la disponibilidad de pruebas de concepto (PoC) para su explotación exige una rápida actuación por parte de los administradores de sistemas y desarrolladores.
- Actualizaciones inmediatas: Se han disponibilizado versiones actualizadas para solucionar el fallo en Google Brotli (1.0.10, 1.1.1 y 1.2.1), Node.js (versiones 22.23.4, 24.22.1 y 26.12.1), además de las bibliotecas de Python afectadas.
- Medidas adicionales: Tras instalar las actualizaciones, los responsables deben reiniciar los procesos afectados y volver a compilar las imágenes de contenedores (Containers) para desplegarlas de nuevo.
- Soluciones temporales alternativas: En caso de que no sea posible realizar una actualización inmediata, se aconseja eliminar por completo el soporte para Brotli en las aplicaciones de Python y bloquear las solicitudes entrantes de Brotli a nivel de proxy o cortafuegos.