Una falla de escritura fuera de límites en el decodificador Brotli de Google, identificada como CVE-2026-111497 y apodada "Broccoli 2Shell" o "HTTP2Shell", obliga a revisar mucho más que servidores Node.js. Brotli viaja dentro de runtimes, librerías de Python, firewalls y herramientas de procesamiento de imágenes, y el parche llegó entre el 21 y el 27 de octubre de 2026 de forma escalonada. Les compartimos lo que se sabe, con las salvedades necesarias.
El defecto está en el decodificador en C de Brotli (c/dec/decode.c). Un flujo comprimido manipulado puede provocar una escritura más allá del final de un búfer, con consecuencias que van de la caída del servicio y la fuga de memoria a, potencialmente, la ejecución de código. No requiere autenticación: basta con que el sistema descomprima contenido Brotli no confiable. Palo Alto Networks lo califica con 9.2 (crítico, CVSS 4.0); Node.js lo califica como alto en su propia escala.
