✨︎ Resumen (TL;DR):
- Microsoft publicó el 25 de octubre de 2026 parches de emergencia para.NET por la vulnerabilidad CVE-2026-111497 en Brotli.
- Una entrada comprimida manipulada puede hacer que el decodificador escriba fuera de la memoria reservada, con riesgo de exposición o corrupción de memoria.
- El problema también alcanza a Node.js y paquetes de Python; la corrección depende del componente y del tipo de despliegue.
Microsoft publicó el 25 de octubre de 2026 parches de emergencia para.NET contra CVE-2026-111497, un fallo en Brotli, la biblioteca de descompresión que también usa Node.js. Una entrada comprimida manipulada puede hacer que una aplicación lea o corrompa memoria cuando procesa datos controlados por un atacante.
Brotli es una biblioteca de descompresión que reduce el tamaño de los datos transmitidos por internet. El problema aparece cuando la aplicación descomprime una entrada manipulada.
Dos rutas para activar el fallo
Según el aviso de Node.js, la entrada manipulada puede hacer que el decodificador escriba fuera de la zona de memoria reservada. Esa operación puede permitir que un atacante lea o corrompa memoria de la aplicación.
El proyecto Node.js advierte que las consecuencias pueden incluir ejecución remota de código, caídas del proceso y exposición de memoria. Para.NET, Microsoft describe riesgos de divulgación de información, denegación de servicio y elevación de privilegios.
La aplicación puede recibir una solicitud comprimida que controla el atacante. También puede descargar una respuesta maliciosa desde otro servidor y descomprimirla después. Vercel explica que ambas rutas exponen a las aplicaciones que descomprimen esos datos mediante código propio o una dependencia.
Cuándo queda expuesta una app de.NET
Microsoft indica que ASP.NET Core no habilita por defecto la descompresión de solicitudes. HttpClient tampoco descomprime automáticamente las respuestas. La exposición aparece cuando una aplicación habilita Brotli o usa sus funciones de descompresión con datos controlados por un atacante.
.NET Framework queda fuera del fallo, según Microsoft.
El alcance llega a Node.js y Python
Node.js distribuyó sus correcciones el 21 de octubre en las versiones 22.23.4, 24.22.1 y 26.12.1.
En Python, GitHub identifica correcciones en los paquetes Brotli 1.2.1 y brotlicffi 1.2.1.0. La actualización que corresponde depende del componente que incorpora cada aplicación.
Versiones corregidas y límites de Vercel
Microsoft publicó las actualizaciones .NET 8.0.33, .NET 9.0.22 y .NET 10.0.14, junto con .NET 11 Release Candidate 3.
Vercel desplegó reglas de firewall para bloquear la vía de ataque entrante en sus proyectos. Esa protección no inspecciona las respuestas que una función descarga de servidores externos. La empresa mantiene la recomendación de actualizar Node.js aunque esas reglas estén desplegadas.
Actualizar depende del runtime
Para las aplicaciones.NET que dependen del runtime compartido del servidor, Microsoft indica instalar la versión corregida y reiniciar.
Las aplicaciones que incluyen su propio runtime deben reconstruirse y publicarse de nuevo. Los contenedores requieren imágenes actualizadas y un nuevo despliegue.
En los proyectos de Vercel que todavía usan Node.js 20, el proveedor pide migrar a Node.js 22 o 24 y volver a desplegar. La rama 20 llegó al final de su soporte y no recibirá esta corrección.
El alcance real depende de qué componente incorpora cada aplicación y qué datos descomprime. En Vercel, las reglas bloquean la vía de ataque entrante, pero no cubren las respuestas descargadas desde servidores externos; en.NET, el siguiente paso cambia si la app usa el runtime compartido, uno propio o un contenedor.
