CVE-2026-111497 en Google Brotli: crítica y ya explotada

CVE-2026-111497 en Google Brotli: crítica y ya explotada

Qué es y a quién afectaGoogle Brotli es una librería de compresión muy extendida: la usan navegadores, servidores web, CDN y buena parte del ecosistem...

Qué es y a quién afecta

Google Brotli es una librería de compresión muy extendida: la usan navegadores, servidores web, CDN y buena parte del ecosistema Node.js para servir contenido comprimido. El problema está en su decodificador, en el archivo c/dec/decode.c. Según la NVD del NIST, la vulnerabilidad CVE-2026-111497 es un desbordamiento de búfer que afecta a las versiones 1.0.3 hasta 1.2.0 en todas las plataformas.

Tubería de cristal agrietada que libera fragmentos brillantes hacia servidores, metáfora del fallo en el decodificador Brotli

El fallo se clasifica como CWE-252 (valor de retorno no comprobado) y CWE-787 (escritura fuera de límites). En la práctica, un atacante remoto y sin autenticar puede enviar un flujo Brotli manipulado y provocar cuatro efectos: corromper la memoria de estado del decodificador adyacente, filtrar contenido sensible de la memoria, causar una denegación de servicio o, en el peor escenario, ejecutar código arbitrario. La gravedad asignada es CVSS 4.0 de 9.2, CRITICAL.

Esto afecta a cualquier empresa que compile o despliegue Brotli por su cuenta: aplicaciones Node.js, servicios propios, utilidades de línea de comandos o componentes empaquetados dentro de otras herramientas. En una pyme con WordPress, PrestaShop o Joomla el riesgo aparece cuando el servidor, el proxy o una aplicación del stack incorporan una versión antigua de la librería.

Por qué es urgente

No estamos ante un fallo teórico. CISA añadió CVE-2026-111497 a su catálogo KEV el 27 de octubre de 2026, lo que significa que ya se explota en ataques reales. La agencia dio a las agencias federales de EE. UU. un plazo hasta el 10 de noviembre de 2026 para aplicar mitigaciones conforme a las instrucciones del fabricante y a su directriz BOD 26-04. Aunque ese plazo vincule solo al sector público estadounidense, marca la urgencia real: si un atacante puede lanzar un flujo comprimido malicioso contra un servicio expuesto, la ventana de exposición es hoy.

El material no indica que esta vulnerabilidad se haya usado en campañas de ransomware, pero eso no rebaja la prioridad. Un fallo crítico con ejecución remota de código y explotación confirmada es, por definición, candidato a entrar en cualquier cadena de ataque.

Qué hacer hoy

  • Inventariar. Localiza todas las librerías y binarios Brotli en servidores, contenedores, aplicaciones Node.js y dependencias empaquetadas. Comprueba la versión exacta: si está entre 1.0.3 y 1.2.0, está afectada.
  • Actualizar. El material indica que hay que pasar a la última versión disponible: 1.0.10, 1.1.1 o 1.2.1. Aplica lo que indique el aviso del fabricante para tu caso concreto y no te quedes en una versión intermedia.
  • Revisar indicios de intrusión. Busca caídas anómalas de procesos, errores de decodificación repetidos, consumo extraño de memoria o tráfico hacia servicios que reciben contenido comprimido. Cualquier señal de manipulación merece una revisión forense.
  • Reducir lo expuesto. Todo servicio que decodifique Brotli y esté accesible desde internet debe limitarse, protegerse con autenticación o retirarse hasta estar actualizado. CISA recomienda evaluar la exposición real de cada activo antes de decidir.
  • Vigilar el resto del stack. Revisa también las dependencias de terceros y las imágenes de contenedor que arrastran versiones antiguas sin que nadie lo note.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Lleida, Barcelona, Tarragona, Girona y resto de España que tienen webs en WordPress, PrestaShop o Joomla, servidores propios o un equipo de IT pequeño. Ante un fallo como CVE-2026-111497, lo primero es saber qué tienes: una auditoría de seguridad y un pentesting permiten identificar qué componentes usan Brotli, en qué versión y con qué exposición a internet.

A partir de ahí aplicamos hardening de servidores, actualizamos las librerías y el software del sitio, y dejamos montada una monitorización con respuesta a incidentes para detectar comportamientos anómalos a tiempo. Si el fallo ya se ha aprovechado y la web aparece comprometida, nos encargamos de la reparación y de devolver el entorno a un estado seguro, cumpliendo con las exigencias del RGPD y la LOPDGDD en materia de protección de datos.

La lección es sencilla: las librerías que nadie mira también son superficie de ataque. Mantenerlas al día y controlar lo que se publica en internet sigue siendo la defensa más rentable.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.