Un grupo de investigadores ha presentado Node2Shell, un exploit capaz de ejecutar código remoto dentro de aplicaciones Node.js. Esta vulnerabilidad aprovecha un fallo de memoria de severidad alta (CVE-2026-111497) en el decodificador de datos comprimidos Brotli incluido en Node.js, permitiendo que un atacante ejecute código malicioso mediante el envío de datos específicamente diseñados.

Unos investigadores han demostrado Node2Shell, un exploit funcional que permite a un atacante ejecutar código dentro de una aplicación Node.js a través de datos comprimidos con Brotli especialmente diseñados. La investigación se centra en el CVE-2026-111497, un fallo de memoria de gravedad alta en el decodificador Brotli incluido en Node.js.

El aviso de seguridad de Node.js, publicado el 21 de octubre de 2026, confirma que el fallo puede permitir la ejecución remota de código y afecta a las líneas de lanzamiento 22.x, 24.x y 26.x. Ya hay correcciones disponibles para las tres ramas.

Nuevo Exploit RCE de Node.js: Node2Shell

Según la investigación proporcionada por Imperva, su prueba de concepto independiente funcionó contra la imagen oficial de Node.js 24.22.0 para Linux arm64 sin necesidad de un depurador o un binario modificado. El código entregado con los datos comprimidos creó un archivo marcador que la aplicación de prueba no tenía instrucciones de producir.

La ejecución requirió múltiples intentos en la configuración probada. Los resultados establecen la explotación en esa compilación y configuración de aplicación específicas, pero no una ejecución fiable en todas las plataformas de Node.js.

El fallo aparece cuando el decodificador encuentra una transición inválida entre tipos de bloques dentro de un flujo de Brotli. En lugar de rechazar el flujo corrupto, el código vulnerable trata la condición como una necesidad de más datos y continúa el procesamiento con un estado interno inválido.

Una prueba separada de sanitización de memoria de Imperva mostró que este comportamiento podría escribir más allá de un búfer previsto. Esa escritura fuera de límites proporciona la corrupción de memoria subyacente detrás de la ejecución de código demostrada.

El decodificador parcheado devuelve un error de formato para la transición inválida. Las notas de lanzamiento de Node.js 24.22.1 confirman la inclusión de la corrección de seguridad de Brotli. En las pruebas de aplicación de Imperva, esa versión rechazó las mismas entradas maliciosas sin crear el archivo marcador.

Imperva probó respuestas HTTP comprimidas consumidas a través de la función fetch() integrada de Node.js y cuerpos de solicitudes entrantes decodificados por middleware de Express y body-parser configurados.

Las configuraciones probadas incluyeron Express 5.0.0 con body-parser 2.0.1, Express 5.3.0 con body-parser 2.3.0, y body-parser 2.0.0 independiente. Tanto las rutas del analizador raw() como las de json() permitieron la ejecución en los entornos vulnerables probados.

Estos paquetes proporcionan rutas hacia el decodificador afectado en lugar de contener el fallo subyacente. Un servidor HTTP de Node.js básico no descomprime automáticamente los cuerpos de Brotli entrantes.

Cybersecurity News cubrió previamente las ramas afectadas en su informe sobre las actualizaciones de seguridad de Node.js. Su resumen de seguridad del 21 de octubre también destaca la necesidad de reconstruir las imágenes de los contenedores con el tiempo de ejecución actualizado.

Si eres administrador, deberías desplegar Node.js 22.23.4, 24.22.1, 26.12.1 o versiones corregidas más recientes en esas ramas. El aviso oficial enumera estos lanzamientos como las actualizaciones de seguridad que solucionan el fallo.

Tú y tu equipo deberíais comprobar el binario real de Node.js dentro de los contenedores y hosts desplegados, y luego revisar dónde los servicios decodifican solicitudes o respuestas comprimidas no confiables.

Imperva afirma que ha añadido reglas de WAF que cubren los intentos de explotación reproducidos. Esos controles proporcionan protección temporal, pero sustituir el tiempo de ejecución vulnerable sigue siendo esencial. Los errores del decodificador y las salidas inesperadas de procesos pueden ayudar en la investigación, pero ninguno de los dos por sí solo prueba una explotación exitosa.

Fuentes:
https://cybersecuritynews.com/new-node2shell-node-js-rce-exploit/