Node2Shell (CVE-2026-111497): Explotado, en el KEV de CISA y Más Allá de Node.js

Cronología (fechas tal como las publica cada fuente)

Runtimes de Node.js: hosts, contenedores, ejecutables únicos, tu código

Comandos para Linux; en macOS sacá el -r de xargs. Corrélos en hosts, dentro de imágenes y en runners de CI. La cadena del fusible SEA sale de la documentación de Node.js, y el grep de la URL de release funciona con builds oficiales de nodejs.org; lo probé contra mi propio binario.

# 1. Cada binario node del host, gestores de versiones incluidos
find / -xdev -type f -name node -perm -u+x 2>/dev/null | while read -r b; do
  echo "$("$b" -v 2>/dev/null) $b"
done | sort
# corregidas: v22.23.4, v24.22.1, v26.12.1 · v20, v23, v25: sin arreglo

# 2. Contenedores en marcha: lo desplegado, no a dónde apunta hoy el tag
docker ps --format '{{.Names}}' | while read -r c; do
  echo "$c $(docker exec "$c" node -v 2>/dev/null || echo 'no node')"
done
grep -rn --include='Dockerfile*' 'FROM node:' .

# 3. Ejecutables únicos (SEA): el fusible termina en :1 cuando hay un blob inyectado
find /opt /usr/local -xdev -type f -perm -u+x -size +40M -print0 2>/dev/null \
  | xargs -0 -r grep -l 'NODE_SEA_FUSE_fce680ab2cc467b6e072b8b5df1996b2:1'
# los builds oficiales de nodejs.org, y los SEA hechos con ellos, llevan su URL de release
grep -aoE 'download/release/v[0-9]+\.[0-9]+\.[0-9]+/' ./my-sea-app | sort -u

# 4. Las apps Electron traen su propio Node: buscá Electron 45.1.0,
#    44.10.0 o 43.8.4 (Node.js 24.22.1) en las notas de cada proveedor

# 5. Tu código: llamadas directas al decodificador Brotli
grep -rnE 'createBrotliDecompress|brotliDecompress(Sync)?\(' src/ \
  --include='*.js' --include='*.mjs' --include='*.cjs' --include='*.ts'

Las otras copias: Python, la biblioteca del sistema, .NET, Bun

Los comandos de pip salen del análisis de Aikido. Compará las revisiones de paquete de tu distro con USN-8956-1, DSA-6582-1, DLA-4855-1 o el aviso de tu proveedor, no con los números upstream.

# Python: Brotli y brotlicffi compilan su propia copia del decodificador
pip show Brotli brotlicffi                     # corregidas: 1.2.1 / 1.2.1.0
docker run --rm <image> pip show Brotli brotlicffi
grep -i brotli poetry.lock uv.lock requirements*.txt

# La biblioteca del sistema (los paquetes nodejs de Ubuntu y Alpine la usan)
dpkg -l 'libbrotli*' | awk '/^ii/ {print $2, $3}'    # Debian/Ubuntu
apk info -v 2>/dev/null | grep brotli                # Alpine: brotli-libs
rpm -q brotli                                        # familia RHEL

# .NET y Bun
dotnet --list-runtimes      # corregidas: 8.0.33, 9.0.22, 10.0.14, 11.0.0-rc.3
bun --version               # corregida: 1.4.4

# Node: la respuesta es process.version, no process.versions.brotli
node -p "process.version + ' brotli ' + process.versions.brotli"

En el borde: rechazá cuerpos de petición codificados con Brotli

El boletín de Red Hat recomienda quitar o rechazar Content-Encoding: br de clientes no confiables en el proxy o el balanceador. Rechazar es más limpio: si solo quitás la cabecera, la app recibe bytes comprimidos que no puede parsear. $http_content_encoding es la variable estándar de nginx para esa cabecera de petición.

# nginx, dentro de server {}: rechazá cuerpos de petición codificados con Brotli
if ($http_content_encoding ~* br) {
    return 415;
}

# Envoy / Istio: si configuraste un descompresor Brotli, sacalo
# en las dos direcciones hasta correr una versión corregida (Tenable)

En la app: Express hacia adentro; fetch, axios y got hacia afuera

inflate es una opción documentada de body-parser (los cuerpos rechazados reciben un 415), y decompress está documentada en axios y en got; el middleware que rechaza solo Brotli es mío. El fetch() integrado de Node no tiene un interruptor para desactivar la decodificación: leí el código de fetch de undici, y solo agrega su Accept-Encoding por defecto si no definiste uno.

// Express 5 / body-parser 2: rechazá todo cuerpo comprimido (igual para raw, text, urlencoded)
app.use(express.json({ inflate: false }));

// ...o rechazá solo Brotli, antes de cualquier parser, y mantené gzip y deflate
app.use((req, res, next) => {
  if (/\bbr\b/i.test(req.headers['content-encoding'] || '')) return res.sendStatus(415);
  next();
});

// Hacia afuera: dejá de pedir br (solo sirve con servidores honestos)
const response = await fetch(url, { headers: { 'accept-encoding': 'gzip, deflate' } });

// axios y got: sin decodificación automática para URLs que no controlás
await axios.get(url, { decompress: false });
await got(url, { decompress: false });