Microsoft ha lanzado actualizaciones de seguridad urgentes para .NET con el fin de corregir un desbordamiento de búfer de Brotli y configuraciones de propiedad inseguras en los archivos de distribución de Linux. Estas actualizaciones, publicadas el 25 de octubre de 2026, afectan a .NET 8, 9, 10 y .NET 11 Release Candidate 3. La compañía insta a los usuarios a actualizar sus sistemas lo antes posible.

Se ha detectado una vulnerabilidad crítica (CVE-2026-111497) llamada "HTTP2Shell" en la librería de compresión Brotli, que afecta a Node.js, Python y .NET. Este fallo de desbordamiento de búfer permite a los atacantes corromper la memoria, acceder a datos sensibles e incluso ejecutar código remoto (RCE). Se recomienda actualizar inmediatamente a las versiones parcheadas y reiniciar los procesos afectados para mitigar el riesgo.

Cloudflare ha anunciado una actualización de emergencia en su conjunto de reglas del Web Application Firewall (WAF) debido a una vulnerabilidad de Brotli identificada como CVE-2026-111497. La actualización, lanzada el 25 de octubre de 2026, introduce dos reglas específicas para el endpoint de optimización de imágenes de Next.js y los cuerpos de solicitudes codificados en Brotli, las cuales vienen activadas por defecto en modo de registro (Log mode) para monitorear el tráfico sin bloquearlo. 

La vulnerabilidad HTTP2Shell afecta a más que el tráfico web; nuevas investigaciones revelan que el fallo en el decodificador Brotli (CVE-2026-111497) puede comprometer aplicaciones .NET, el procesamiento de medios de FFmpeg, servidores ClickHouse y cargas de trabajo de Apache Arrow. Los hallazgos advierten que limitarse a revisar las versiones de Node.js puede dejar otros software expuestos sin detectar.