La vulnerabilidad CVE-2026-111497, conocida como Node2Shell, afecta a la librería de compresión Brotli de Google, impactando a Node.js, Python, Bun, Envoy y otros componentes de servidores HTTP. El fallo, descubierto por Node.js el 21 de octubre y confirmado por Python el 23 de octubre, permite a un atacante remoto y no autenticado enviar datos comprimidos maliciosos que provocan fugas de memoria, ejecución de código arbitrario o colapsos del proceso. Con una puntuación CVSS v4.0 de 9.2, la vulnerabilidad es crítica y afecta a todas las versiones de Brotli desde 1.0.3 hasta 1.2.0 en todas las plataformas.
OpenAI reveló que identificó el problema en febrero, aunque el código fuente original ya contenía la corrección técnica; sin embargo, no se lanzó una versión pública con el parche hasta ahora. Esto obliga a los desarrolladores a actualizar manualmente las dependencias, ya que bases de datos como PyPI no mapean aún el CVE a los paquetes específicos. Para mitigar el riesgo, se recomienda actualizar a las versiones parcheadas (Brotli 1.2.1 o superior, Node.js 22.23.4 o superior, etc.) o deshabilitar la decodificación de Brotli en clientes HTTP si la actualización inmediata no es posible. Los parches ya están disponibles para libbrotli, Python, C++, Node.js, Bun, Envoy, Istio y libcurl. Apache y Nginx no decodifican Brotli por defecto, por lo que no están expuestos directamente, aunque sus dependencias podrían estar afectadas.