--- title: Microsoft lanza parches de emergencia para vulnerabilidad crítica en el decodificador Brotli de .NET url: https://www.dataloco.com/es/microsoft-lanza-parches-de-emergencia-para-vulnerabilidad-critica-en-el-decodificador-brotli-de-net published: 2026-10-29T12:22:05+00:00 language: es section: Seguridad source: https://www.techtalkthai.com/microsoft-out-of-band-dotnet-update-fixes-critical-brotli-vulnerability/ organizations: Microsoft, Google publisher: Dataloco --- # Microsoft lanza parches de emergencia para vulnerabilidad crítica en el decodificador Brotli de .NET Microsoft ha publicado una actualización de seguridad fuera de banda para .NET con el fin de solucionar una vulnerabilidad de nivel crítico en el decodificador Brotli. Este fallo de seguridad es conocido bajo los nombres de Broccoli2Shell, Node2Shell o HTTP2Shell. La vulnerabilidad, identificada como CVE-2026-111497, se origina por una escritura fuera de límites en el decodificador Brotli. Este componente se encarga de descomprimir datos que utilizan el algoritmo de compresión sin pérdida de Google, el cual posee un uso extendido. El problema afecta tanto a clientes como a servidores HTTP, además de otras herramientas y aplicaciones que emplean la implementación de Brotli afectada. Un atacante sin privilegios puede enviar un flujo comprimido con Brotli creado específicamente para provocar que el sistema colapse o generar una fuga de memoria. En ciertos casos, esto podría permitir la ejecución remota de código en dispositivos que utilicen la biblioteca o el binario de Brotli vulnerables. Según el aviso de Microsoft, los atacantes también podrían utilizar este fallo para realizar una escalada de privilegios remota en sistemas con .NET que no hayan sido parcheados y que utilicen configuraciones distintas a las predeterminadas. El equipo de .NET explicó que las aplicaciones potencialmente afectadas son aquellas que procesan datos de Brotli a través de la descompresión de solicitudes de ASP.NET Core, la descompresión automática de respuestas de HttpClient o la API de System.IO.Compression Brotli. No obstante, la descompresión de Brotli no está activada por defecto en las instalaciones nuevas de .NET o ASP.NET Core. Las aplicaciones deben activar manualmente la descompresión de respuestas de HttpClient o de solicitudes de ASP.NET Core, o bien llamar directamente a la API de descompresión de Brotli de .NET. Microsoft ha emitido la actualización fuera de banda para .NET 8.NET 9.NET 10 y el Release Candidate 3 de .NET 11. Las versiones corregidas son la 8.0.33 para .NET 8, la 9.0.22 para .NET 9, la 10.0.14 para .NET 10 y el Release Candidate 3 para .NET 11. Aunque ya existe un exploit de prueba de concepto de Broccoli2Shell publicado en GitHub, no se han reportado ataques reales. Un sitio web que rastrea esta vulnerabilidad advirtió que actualizar la biblioteca Brotli del sistema no elimina el riesgo en aplicaciones que incluyen su propia biblioteca de Brotli empaquetada. Para las organizaciones que no puedan actualizar inmediatamente, se recomienda bloquear las solicitudes comprimidas con Brotli mediante un cortafuegos o proxy, o desactivar temporalmente la decodificación de Brotli hasta que se instale el parche. ## This story in other languages - [日本語](https://www.dataloco.com/ja/microsoftnetbrotli) - [हिन्दी](https://www.dataloco.com/hi/microsoft-na-net-ka-brotli-dakadara-ma-gabhara-sarakashha-khama-ka-thaka-karana-ka-le-aapatakalna-paca-jara-kae) - [Indonesia](https://www.dataloco.com/id/microsoft-merilis-pembaruan-darurat-untuk-mengatasi-celah-keamanan-kritis-pada-dekoder-brotli-di-net) - [Nederlands](https://www.dataloco.com/nl/microsoft-brengt-noodupdates-uit-voor-kritieke-fout-in-brotli-decoder-binnen-net) - [العربية](https://www.dataloco.com/ar/shrk-microsoft-ttlk-thdythat-amny-tary-lmaaalg-thghr-hrg-fy-mfkk-trmyz-brotli) - [Русский](https://www.dataloco.com/ru/microsoft-vypustila-ekstrennye-obnovleniia-dlia-ustraneniia-kriticeskoi-uiazvimosti-v-dekodere-brotli) - [Deutsch](https://www.dataloco.com/de/microsoft-veroffentlicht-notfall-patches-fur-kritische-brotli-schwachstelle-in-net) - [Português (Brasil)](https://www.dataloco.com/pt-br/microsoft-lanca-atualizacoes-de-emergencia-para-corrigir-falha-critica-no-decodificador-brotli-do-net) - [Italiano](https://www.dataloco.com/it/microsoft-rilascia-aggiornamenti-di-emergenza-per-vulnerabilita-critica-in-brotli-decoder-su-net)