Node.js publicó el 21 de octubre de 2026 una nueva ronda de actualizaciones de seguridad que corrige una vulnerabilidad de severidad alta en su decodificador Brotli. El defecto, registrado como CVE-2026-111497, puede provocar una escritura fuera de límites y derivar en ejecución remota de código cuando se procesan datos manipulados. Las ramas con soporte ya disponen de versiones corregidas: 22.23.4, 24.22.1 y 26.12.1.
El problema se manifiesta cuando un proceso decodifica contenido Brotli que ha sido controlado por un atacante, un escenario más habitual de lo que podría parecer en servicios que aceptan respuestas comprimidas o que gestionan material enviado por terceros.
En el plano técnico, el fallo consiste en una escritura fuera de límites dentro del decodificador Brotli que acompaña a Node.js. Este tipo de defecto se engloba en la categoría de corrupción de memoria: el proceso acaba escribiendo en zonas donde no debería y, en condiciones favorables para el atacante, esa situación abre la puerta a la ejecución de código arbitrario. La incidencia figura como CVE-2026-111497 y está catalogada con severidad alta.
La vulnerabilidad afecta a todas las ramas actualmente soportadas previas a la aplicación de los parches, es decir, Node.js 22.x, 24.x y 26.x. Las versiones que incorporan la corrección son Node.js 22.23.4, 24.22.1 y 26.12.1. Los responsables de servicios que aún operan en ramas fuera de soporte se enfrentan a un panorama más complicado: 18.x, 20.x, 23.x y 25.x no recibirán actualizaciones de seguridad, por lo que la única salida práctica es migrar a una rama con mantenimiento activo y volver a desplegar.
El alcance del problema no queda limitado al binario oficial del proyecto. El aviso señala además un matiz relevante para entornos corporativos y distribuciones Linux: si alguien compila Node.js enlazándolo contra un Brotli del sistema que todavía no incluye el arreglo subido al proyecto original, el riesgo puede persistir. En esos casos conviene comprobar que la dependencia de Brotli incorpore la corrección identificada como 0ed4268.
Más allá de Brotli, este mismo lanzamiento de seguridad resuelve otras incidencias, con mención expresa a problemas de severidad alta vinculados a la validación de hostnames en TLS. Para los equipos de operaciones, la recomendación es directa: inventariar qué servicios aceptan o procesan contenido Brotli, dar prioridad a aquellos que pueden decodificar datos controlados por terceros y actualizar cuanto antes. También conviene revisar el lado menos visible del despliegue —imágenes de contenedor, runners de CI y entornos locales—, dado que una versión antigua en cualquiera de esos puntos puede reintroducir el problema en la cadena de entrega de software.
Más información
- Node.js Project – Wednesday, October 21, 2026 Security Releases: https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
- Patchstack – Node.js 22.23.4 / 24.22.1 / 26.12.1 out-of-bounds write in the bundled Brotli decoder leading to remote code execution: https://patchstack.com/database/npm/npm/nodejs/vulnerability/node-js-22-23-4-24-22-1-26-12-1-out-of-bounds-write-in-the-bundled-brotli-decoder-leading-to-remote-code-execution
- Convika – Node.js security release (October 2026): Brotli decoder RCE (CVE-2026-111497) and more: https://convika.com/blog/nodejs-security-release-2026-10-brotli/
La entrada original, Node.js corrige un fallo en Brotli que abre la puerta a ejecución remota de código, se publicó primero en Una Al Día.
Con Información de unaaldia.hispasec.com
