✨︎ Resumen (TL;DR):
- CISA incorporó Node2Shell y PolyShell a su catálogo de vulnerabilidades explotadas el 27 de octubre de 2026.
- Node2Shell puede corromper la memoria y permitir ejecución remota de código; PolyShell permite cargar archivos peligrosos en tiendas afectadas.
- Node.js publicó correcciones para las ramas 22, 24 y 26, mientras que las tiendas Magento comprometidas requieren investigar la intrusión además de instalar la actualización.
CISA, la agencia de ciberseguridad de Estados Unidos, incorporó el 27 de octubre de 2026 las fallas Node2Shell y PolyShell a su catálogo de vulnerabilidades explotadas. El aviso se basa en evidencia de explotación activa: Node2Shell puede afectar procesos que descomprimen datos Brotli manipulados, mientras PolyShell permite cargar archivos peligrosos sin restricciones en versiones afectadas de Adobe Commerce y Magento Open Source. Ambas pueden permitir ejecución de código, pero exigen revisar sistemas distintos.
Node2Shell depende de qué datos descomprime la aplicación
Node2Shell es una vulnerabilidad del decodificador Brotli que puede corromper la memoria de un proceso cuando una aplicación vulnerable descomprime datos manipulados. La falla está identificada como CVE-2026-111497.
Según el proyecto Node.js, las consecuencias pueden incluir el cierre del servicio, la exposición de memoria o la ejecución remota de código. El riesgo no significa que todas las aplicaciones Node.js sean explotables de la misma forma. La condición relevante es que procesen datos Brotli bajo control de un atacante.
La vulnerabilidad también puede afectar a otras aplicaciones que incorporen el decodificador vulnerable, no solo a entornos Node.js. Por eso, revisar únicamente la versión principal de Node.js no basta si otro software incluye su propia copia de Brotli.
FomoEra había informado sobre una demostración de ejecución de código en un entorno de prueba. La inclusión en el catálogo de CISA agrega evidencia de explotación activa fuera de ese contexto.
SecurityWeek reportó que sensores de Previdian detectaron un intento el 27 de octubre. La empresa aclaró que su nivel de confianza se refería a identificar el intento, no a confirmar que hubiera tenido éxito. ELLIO observó otro caso en el que la etapa final no consiguió ejecutar su objetivo durante pruebas de laboratorio.
PolyShell pone el foco en las tiendas en línea
PolyShell es una vulnerabilidad de Adobe Commerce y Magento Open Source que permite cargar archivos peligrosos sin restricciones. Su identificador es CVE-2026-48356 y Adobe publicó una actualización de seguridad para las versiones afectadas.
Sansec identificó una campaña que había alcanzado 953 tiendas desde julio de 2025, en su mayoría basadas en Magento. Ese número corresponde a la campaña completa; no significa que Sansec haya atribuido todas esas tiendas a PolyShell.
En una oleada de marzo, los atacantes sí usaron esta falla para introducir código malicioso en 471 tiendas en una hora. La cifra muestra el alcance de ese episodio específico, separado del total de 953 tiendas registrado por Sansec.
Qué deben revisar los administradores
La alerta de CISA ayuda a priorizar la revisión de sistemas y las actualizaciones disponibles. Las medidas dependen del software instalado:
- Inventario y parches: identificar las versiones y los componentes afectados, consultar los avisos de los proveedores y aplicar las actualizaciones correspondientes.
- Node.js: el proyecto publicó correcciones para las ramas 22, 24 y 26. Los entornos y dependencias que incluyan su propia copia de Brotli también necesitan revisión.
- Adobe Commerce y Magento: actualizar ayuda a cerrar PolyShell, pero una tienda ya comprometida requiere investigar y atender la intrusión.
La revisión de Brotli debe empezar por una pregunta concreta: si el sistema descomprime datos que un atacante puede controlar. También hay que confirmar si algún entorno o dependencia utiliza una copia vulnerable del decodificador.
En las tiendas Magento, instalar la actualización no sustituye la investigación de una intrusión ya ocurrida. CISA colocó ambos casos en el mismo catálogo por la evidencia de explotación activa, pero la respuesta técnica depende del componente afectado y de si el sistema ya fue comprometido.
