OpenAI descubre una vulnerabilidad crítica de ejecución remota de código en Brotli
Investigadores de OpenAI descubrieron una vulnerabilidad crítica en Brotli, CVE-2026-111497, también conocida como Node2Shell. El fallo consiste en una escritura fuera de los límites en el decodificador de la biblioteca de compresión y podría permitir que un atacante no autenticado ejecutara código mediante datos comprimidos manipulados con fines maliciosos. Tiene una puntuación CVSS de 9,2 y podría afectar tanto a aplicaciones del lado del cliente como del servidor.
La vulnerabilidad de Brotli ha impulsado la publicación de actualizaciones de seguridad para Node.js, Bun, Envoy y varios paquetes de Python. Los usuarios de Node.js deberían actualizar a las versiones 22.23.4, 24.22.1 o 26.12.1; las versiones de Bun anteriores a la 1.4.4 están afectadas. Ya ha aparecido código de prueba de concepto, e investigadores de Imperva demostraron que era posible explotar de forma fiable las compilaciones afectadas de Node.js, aunque a 23 de octubre de 2026 no había pruebas públicas de ataques generalizados.
Los criptooperadores no se ven afectados directamente por el fallo de software, pero las plataformas de intercambio, los servicios de monederos y otras plataformas de criptomonedas deberían comprobar si utilizan componentes de Brotli vulnerables, especialmente cuando procesan datos comprimidos no confiables. El incidente pone de relieve los riesgos de ciberseguridad que afronta la infraestructura de software utilizada en todo el sector de los activos digitales.
Neutral
La vulnerabilidad no tiene una relación directa con los precios de las criptomonedas, la oferta de tokens ni la actividad de los protocolos blockchain, por lo que lo más adecuado es considerar que su impacto en el mercado es neutro. Su relevancia inmediata es operativa: los exchanges de criptomonedas, los custodios, los proveedores de monederos y otros servicios pueden utilizar Brotli a través de entornos de ejecución o dependencias, y un ataque exitoso podría interrumpir los servicios o exponer sistemas. Los operadores pueden estar atentos a los informes de incidentes de plataformas concretas, pero el artículo no identifica ninguna empresa o servicio de criptomonedas afectado.
A corto plazo, el código de prueba de concepto y la elevada puntuación de gravedad podrían llevar a las empresas afectadas a revisar la seguridad, aplicar parches y gestionar los riesgos con cautela. Si un exchange o monedero importante comunicara un exploit o una interrupción del servicio, sus usuarios podrían responder retirando fondos o reduciendo su actividad, lo que podría generar volatilidad específica de esa plataforma. El artículo no informa de una explotación generalizada, lo que limita los motivos para esperar una alteración más amplia del mercado.
A largo plazo, el incidente podría animar a las empresas del sector cripto a auditar los componentes de código abierto incluidos en sus sistemas y a reforzar la seguridad de la cadena de suministro. Vulnerabilidades de software similares suelen dar lugar a respuestas operativas específicas, más que a movimientos sostenidos en el conjunto del mercado cripto, salvo que provoquen una brecha confirmada, la pérdida de fondos o una interrupción prolongada del servicio. Por tanto, los operadores deben distinguir entre el riesgo general para la infraestructura y las pruebas de un incidente concreto en el sector cripto.