> ## Content Index
> Fetch the complete content index at: https://fomoera.com/llms.txt
> Use this file to discover other available public pages before exploring further.

# Imperva demuestra ejecución remota de código en Node.js con Node2Shell
- URL: https://fomoera.com/node2shell-nodejs-brotli-parche/
- Published: 2026-10-24T16:40:00.000Z
- Updated: 2026-10-24T16:40:00.000Z
- Description: La prueba ejecutó código en una imagen oficial para Linux arm64. Los parches ya están disponibles, pero actualizar paquetes npm o filtrar solicitudes no elimina por sí solo la falla de Node.js.
- Author: Patricia Rodriguez
- Tags: Tecnología y Ciencia, Ciberseguridad

Imperva consiguió ejecutar código mediante datos Brotli manipulados en una imagen oficial de **Node.js 24.22.0 para Linux arm64**. La demostración Node2Shell confirma el riesgo para aplicaciones que descomprimen contenido no confiable. Los parches están disponibles desde el 21 de octubre de 2026.

La vulnerabilidad, identificada como **CVE-2026-111497**, está en el decodificador Brotli incluido en Node.js. El proyecto la clasifica como de severidad alta y señala que afecta a las ramas 22.x, 24.x y 26.x. Al procesar datos malformados, el decodificador puede escribir fuera del espacio de memoria previsto y provocar un cierre del proceso, exponer su memoria o permitir ejecución remota de código.

El análisis de Imperva, fechado el 22 de octubre, describe una prueba sin depurador ni binario modificado. Necesitó varios intentos y su resultado se limita a las configuraciones ensayadas en Linux arm64\. Con Node.js 24.22.1, el programa rechazó los mismos datos y el código no se ejecutó.

## Las respuestas externas también pueden llevar el ataque

Brotli permite comprimir datos para reducir su tamaño durante la transmisión. La exposición aparece cuando una aplicación entrega contenido controlado por un atacante al decodificador vulnerable. Imperva reprodujo dos rutas:

- Una solicitud entrante cuyo cuerpo comprimido procesa el middleware configurado en la aplicación, como los analizadores de Express 5 o body-parser 2.
- Una respuesta comprimida de otro servidor que la aplicación consume mediante la función integrada `fetch()` de Node.js.

Recibir una solicitud comprimida no basta para activar la falla: la aplicación debe descomprimirla, explica Imperva. La configuración del servicio determina si existe esa vía.

Vercel informó que desplegó reglas de firewall el 21 de octubre para bloquear la vía de entrada en sus proyectos. La empresa precisa que esa protección cubre el tráfico que atraviesa su red, pero deja fuera las respuestas que las funciones obtienen de otros servidores. Un servicio puede tener las solicitudes filtradas y seguir alcanzando el decodificador vulnerable al consumir una respuesta externa.

## El parche debe llegar al binario desplegado

Node.js publicó estas versiones con la corrección el 21 de octubre de 2026:

__Versiones de Node.js que incorporan la corrección de CVE-2026-111497__
| Rama | Primera versión corregida |
| ---- | ------------------------- |
| 22.x | 22.23.4                   |
| 24.x | 24.22.1                   |
| 26.x | 26.12.1                   |

Imperva recomienda desplegar esas versiones o posteriores que incluyan la corrección y migrar las aplicaciones en ramas sin soporte. Vercel especifica que Node.js 20.x ya terminó su ciclo de mantenimiento y no recibirá este parche.

Qualys señala que actualizar únicamente las dependencias de la aplicación deja intacta esta falla, porque el componente vulnerable forma parte del runtime, el entorno que ejecuta JavaScript. Su guía pide reconstruir las imágenes de contenedor y las aplicaciones empaquetadas en un solo ejecutable con la versión corregida, y volver a desplegarlas.

La comprobación debe hacerse dentro de cada imagen o servidor desplegado, recomienda Imperva. Qualys añade que los servicios que siguen activos conservan el runtime anterior en memoria hasta que se reinician; reemplazar el archivo instalado es solo una parte de la actualización.

*Fuentes:* [1](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases?ref=fomoera.com), [2](https://www.imperva.com/blog/node2shell-from-brotli-data-to-remote-code-execution/?ref=fomoera.com), [3](https://vercel.com/kb/bulletin/node-js-security-advisory?ref=fomoera.com), [4](https://blog.qualys.com/product-tech/2026/10/23/node-js-patches-brotli-remote-code-execution-flaw-find-vulnerable-runtimes-before-attackers-do?ref=fomoera.com)