CISA agregó el 27 de octubre de 2026 la CVE-2026-111497 al catálogo de vulnerabilidades explotadas conocidas (KEV). Es una escritura fuera de límites en el decoder de Google Brotli, la librería de compresión que usan navegadores, servidores web, CDN, runtimes y miles de aplicaciones. Un atacante remoto sin autenticación puede provocar el fallo con un stream comprimido manipulado, y por eso la falla merece atención inmediata.
La falla está en el decoder de Brotli (c/dec/decode.c). El registro del CVE la clasifica como escritura fuera de límites (CWE-787) originada en un valor de retorno que no se verifica (CWE-252). Según el aviso de Node.js, una entrada inválida se trataba como una simple necesidad de más datos y no como un error permanente de formato, así que el decoder seguía escribiendo más allá de un búfer interno. CISA describe el impacto como corrupción de la memoria adyacente del estado del decoder, divulgación de contenido sensible de memoria, denegación de servicio y, potencialmente, ejecución de código arbitrario.
