Node2Shell (CVE-2026-111497): qué bloquea el borde de OpenWAF y qué tienes que parchear tú

Qué es Node2Shell

El fallo está en DecodeBlockTypeAndLength, en c/dec/decode.c de la biblioteca Brotli de referencia. Imperva lo llamó Node2Shell, JFrog mostró que llega mucho más allá de Node.js con el nombre Brotli2Shell, y el proyecto Node.js publicó versiones corregidas el 21 de octubre de 2026. Tiene una puntuación CVSS de 9,2. CISA lo añadió a su catálogo de vulnerabilidades explotadas (KEV) el 27 de octubre, y Sophos informa de explotación activa.

A quién afecta

Estás expuesto de dos formas:

• Servidores que decodifican cuerpos de petición enviados con Content-Encoding: br: Express 5 y body-parser 2.x sobre Node.js sin parchear, la descompresión de peticiones de ASP.NET Core, la interfaz HTTP de ClickHouse, servicios Python que usan brotli o brotlicffi y la extensión brotli de PHP.
• Clientes HTTP que decodifican respuestas Brotli: fetch() de Node.js, HttpClient de .NET y, en Python, requests, httpx, aiohttp o urllib3 cuando brotli está instalado. A un servidor que controle el atacante le basta con responder con un cuerpo manipulado.

Qué hace ya el borde de OpenWAF

El escudo 1009 «Brotli Request Body» rechaza toda petición con cuerpo cuyo Content-Encoding incluya br, antes de que llegue a tu origen. La cabecera se reconoce en mayúsculas o minúsculas y en cualquier posición de la lista, también en gzip, br o repartida en varias líneas Content-Encoding. La petición recibe un 403 con tu página de bloqueo. Está activo en todos los nodos de borde desde las 20:52 UTC del 30 de octubre de 2026 y viene activado por defecto en todos los sitios: no tienes que cambiar nada.

Nada más cambia. Las peticiones sin cuerpo y los cuerpos codificados con gzip, deflate, zstd o identity pasan como antes, las respuestas no se tocan y los navegadores nunca envían cuerpos de petición Brotli, así que tus visitantes no lo notan. Como todos los escudos, el 1009 bloquea en modo active, solo registra en modo log y no se ejecuta con el WAF en off.

El decodificador Brotli del propio borde es una versión en Go con el mismo error lógico pero sin corrupción de memoria. También está actualizado.

Si tu API acepta cuerpos Brotli

Algunas API aceptan a propósito cuerpos comprimidos con Brotli, por ejemplo un punto de ingesta que alimentan tus propios agentes. Parchea primero ese origen y después añade una excepción del WAF para la regla 1009 solo en esa ruta y limitada al nombre que la necesita. Puedes hacerlo desde el panel (Seguridad → Firewall → Reglas → Excepciones del WAF), la CLI, la API o la herramienta MCP add_rule; el aviso tiene los comandos exactos. Una excepción con rule_id 0 no desactiva el escudo.

Qué no cubre el borde

• Las respuestas que descarga tu código. Si tus servidores llaman a fetch() u otro cliente HTTP con una URL que pueda elegir un atacante, la respuesta manipulada les llega directamente.
• El tráfico que se salta el borde. Las peticiones que llegan a tu origen por su dirección IP o por otro nombre no se inspeccionan. Acepta conexiones solo desde el borde de OpenWAF y usa TLS de origen Full (strict).
• Los nombres solo DNS, los sitios en modo log y los sitios con el WAF en off.
• Otras vías de entrada: ficheros subidos, colas, brokers de mensajes o ficheros en almacenamiento que tu software decodifique.

Qué tienes que parchear

Hemos seguido el mismo consejo: parcheamos nuestros propios servicios Node.js el mismo día que se activó el escudo.

Cómo revisar tus registros

Las peticiones rechazadas aparecen en los eventos de seguridad con rule_id 1009 y rule_name Brotli Request Body. En el panel, abre Analítica → Tráfico → Eventos de seguridad y añade el filtro Regla es 1009, o pregunta a la API:

curl -s "https://dash.openwaf.dev/v1/orgs/$ORG/zones/$ZONE/events?rule_id=1009&since=2026-10-27T00:00:00Z" \
  -H "Authorization: Bearer $OPENWAF_TOKEN"

Un evento solo indica que alguien lo intentó a través del borde. No dice si llegaron a tu origen por otra vía, así que revisa también los registros del propio origen.

Preguntas frecuentes

Fuentes

• Node.js: October 2026 security releases Node.js, 21 oct 2026
• Google Brotli: fix commit 0ed4268 Google
• Known Exploited Vulnerabilities Catalog CISA
• Node2Shell: from Brotli data to remote code execution Imperva
• Brotli2Shell: beyond Node2Shell and HTTP2Shell JFrog
• Node2Shell (CVE-2026-111497) in active exploitation Sophos
• CVE-2026-111497 record CVE Program
• CVE-2026-111497 (Node2Shell): what the edge does and what you must still patch OpenWAF, 30 oct 2026