Microsoft publicó el 25 de octubre de 2026 parches de emergencia para .NET por una vulnerabilidad en Brotli, la biblioteca de descompresión usada también por Node.js. El fallo puede permitir que un atacante lea o corrompa la memoria de una aplicación si consigue que esta procese datos comprimidos bajo su control.
La vulnerabilidad se identifica como CVE-2026-111497. El proyecto Node.js advierte que sus consecuencias pueden incluir ejecución remota de código, además de caídas del proceso y exposición de memoria. Microsoft describe para .NET riesgos de divulgación de información, denegación de servicio y elevación de privilegios.
La exposición depende de qué datos descomprime la aplicación
Brotli reduce el tamaño de los datos que se transmiten por internet. El problema aparece al descomprimirlos: una entrada manipulada puede hacer que el decodificador escriba fuera de una zona de memoria reservada, según el aviso de Node.js.
Hay dos vías relevantes. Una aplicación puede recibir una solicitud comprimida de un atacante, pero también descargar una respuesta maliciosa de otro servidor. Vercel explica que ambas rutas exponen a las aplicaciones que descomprimen esos datos, ya sea mediante su propio código o una dependencia.
En .NET, Microsoft aclara que la descompresión de solicitudes de ASP.NET Core y la descompresión automática de respuestas de HttpClient están desactivadas por defecto. La exposición requiere habilitar Brotli o utilizar sus funciones de descompresión con datos controlados por un atacante. .NET Framework queda fuera del fallo, según la compañía.
El alcance llega también a Python. La base de avisos de seguridad de GitHub identifica correcciones en los paquetes Brotli 1.2.1 y brotlicffi 1.2.1.0. Esto obliga a distinguir qué componente incorpora cada aplicación y qué actualización le corresponde.
Las versiones corregidas y el límite del firewall
Microsoft publicó las actualizaciones .NET 8.0.33, 9.0.22 y 10.0.14, junto con .NET 11 Release Candidate 3. Node.js había distribuido sus correcciones el 21 de octubre en las versiones 22.23.4, 24.22.1 y 26.12.1.
Vercel afirma que desplegó reglas de firewall para bloquear la vía de ataque entrante en sus proyectos. Su protección tiene un límite concreto: las respuestas que una función descarga de servidores externos quedan fuera de esa inspección. La empresa mantiene la recomendación de actualizar Node.js aunque exista protección de firewall.
La instalación también importa. Para aplicaciones .NET que dependen del runtime compartido del servidor, Microsoft indica instalar la versión corregida y reiniciar. Las aplicaciones que incluyen su propio runtime deben reconstruirse y publicarse de nuevo; los contenedores requieren imágenes actualizadas y un nuevo despliegue.
Para los proyectos de Vercel que sigan usando Node.js 20, el proveedor pide migrar a 22 o 24 y volver a desplegar. Esa rama ya llegó al final de su soporte y no recibirá esta corrección.
Patricia Rodriguez
