CISA mete el fallo de Brotli y el de Magento en su lista de vulnerabilidades explotadas: el 91% de los entornos cloud tiene recursos vulnerables
La entrada en el catálogo KEV, anunciada por CISA el martes, no es un trámite: significa que hay evidencia de explotación activa. Un fallo está en Brotli, la librería de compresión que vive dentro de media web, y el otro ya sirvió para asaltar cientos de tiendas Magento. La fecha límite federal para cerrar ambos es el 10 de noviembre.
CISA añadió el martes dos vulnerabilidades a su catálogo de vulnerabilidades conocidas explotadas (KEV), por evidencia de explotación activa, según su alerta del 27 de octubre: CVE-2026-111497, un fallo en la librería de compresión Brotli de Google puntuado con 9,2 sobre 10, y CVE-2026-48356, PolyShell, una subida de archivos sin restricciones en Adobe Commerce y Magento puntuada con 9,3. Las agencias federales civiles tienen hasta el 10 de noviembre para parchear.
El caso de Brotli es el de mayor alcance potencial. Es una librería de compresión presente en navegadores, servidores y runtimes de todo el mundo, y su fallo permite que un flujo comprimido manipulado corrompa la memoria del decodificador: según The Hacker News, puede revelar contenido de la memoria, tumbar el proceso o, en determinadas configuraciones, ejecutar código. La exposición depende de que la aplicación descomprima datos controlados por el atacante. La firma Wiz, propiedad de Google, advierte de que el 91% de los entornos cloud tiene recursos vulnerables y el 82% mantiene instancias de Node.js expuestas públicamente.
La evidencia de explotación, por ahora, es puntual y conviene decirla tal cual. Previdian registró un intento contra sus sensores honeypot desde una IP de EE. UU. el 27 de octubre, y ELLIO detectó el lunes tráfico con el exploit público, capaz de abrir una shell en las versiones vulnerables, desde una IP de Países Bajos que también atacaba PHP2Shell. The Hacker News subraya que aún no se sabe si esos intentos son amplios. El fallo circula como Node2Shell, HTTP2Shell o Broccoli2Shell.
PolyShell llega al catálogo con daños ya contados. La firma holandesa Sansec observó a atacantes usándolo para asaltar cientos de tiendas e inyectar un cargador malicioso en los bloques de contenido de Magento, en una campaña activa desde julio de 2025 que suma 953 tiendas infectadas. Ese cargador ejecuta código controlado por el atacante cuando un comprador real visita la tienda y se oculta de los escáneres; su carga final aún no se ha recuperado, así que su objetivo último sigue sin estar claro.
La respuesta ha sido una ola de parches: Node.js corrigió el fallo en sus versiones 22.23.4, 24.22.1 y 26.12.1, y hay avisos de PHP, Bun, Envoy, .NET, Python, Cloudflare, Cisco, F5 y decenas de proveedores más. Para Node.js no hay mitigación alternativa: actualizar es la única corrección completa, según Akamai. La prioridad es parchear primero todo lo que descomprima Brotli de cara a internet.
Comentarios
Sé el primero en comentar.
Sigue leyendo
Ciberseguridad
PostgreSQL tapa 52 agujeros de golpe: un fallo de 22 años permitía ejecutar código en el servidor
PostgreSQL acaba de cerrar 52 vulnerabilidades de una vez, 32 de ellas con nota 8,8. Una llevaba 22 años escondida en el código: ¿ya parcheaste tu base de datos?
Ciberseguridad
El firewall era la puerta: un zero-day de Check Point da root a los atacantes, planta el backdoor TSGA y borra servidores ESXi
Un zero-day de Check Point ya se explota para llegar a root, plantar un backdoor y borrar servidores ESXi. Hay parche de emergencia: ¿llegó a tu gateway?
Ciberseguridad
Operation TorNado: 354 detenidos en 14 países y 234 millones incautados en la mayor redada contra la dark web
354 detenidos, 5,7 toneladas de droga y 234 millones incautados: la mayor redada contra la dark web ya es oficial. ¿Creías que ahí nadie te encuentra?