El 26 de octubre de 2026, Fortinet publicó el aviso de seguridad FG-IR-26-187, en el que se enumeran diez vulnerabilidades de Node.js que afectan a las ramas 22.x, 24.x y 26.x. El aviso está marcado como crítico (CVSSv3 9.8) e incluye más de 40 productos de Fortinet cuyo estado aún se está investigando. La vulnerabilidad más peligrosa de la lista — CVE-2026-111497 — permite la ejecución remota de código a través de un error de escritura fuera de los límites del búfer en el decodificador Brotli y ya ha sido incluida en el catálogo CISA KEV, con fecha límite de corrección hasta el 10 de noviembre de 2026. Las organizaciones que utilicen productos de Fortinet o Node.js deben evaluar de inmediato su exposición y actualizar sus entornos de ejecución.
Diez vulnerabilidades: qué se ha corregido en la versión de octubre de Node.js
El 21 de octubre de 2026, el proyecto Node.js publicó actualizaciones de seguridad que corrigen 10 vulnerabilidades. Según Qualys, cuatro de ellas tienen un nivel de gravedad alto:
- CVE-2026-111497 (High): escritura fuera de los límites del búfer en el decodificador Brotli, que permite la corrupción de la memoria del proceso, la fuga de datos o la ejecución remota de código. Afecta a Node.js 22.x, 24.x y 26.x.
- CVE-2026-105482 (High): truncamiento de la resolución DNS en presencia de caracteres NUL incrustados. Afecta a 22.x, 24.x y 26.x.
- CVE-2026-105483 (High): omisión de la validación del nombre de host TLS utilizando dígitos de ancho completo. Afecta a 24.x y 26.x.
- CVE-2026-106069 (High): omisión de la validación del nombre de host TLS mediante direcciones IP no canónicas. Afecta a 22.x, 24.x y 26.x.
Otras tres vulnerabilidades (CVE-2026-105481, CVE-2026-106072, CVE-2026-106074) tienen un nivel de gravedad medio y afectan a las tres ramas. Tres vulnerabilidades de baja gravedad (CVE-2026-106070, CVE-2026-106071, CVE-2026-106073) afectan principalmente a 26.x.
Las versiones corregidas de Node.js son: 22.23.4, 24.22.1 y 26.12.1, según el aviso oficial de Node.js.
CVE-2026-111497: de vulnerabilidad a explotación en cuestión de días
La vulnerabilidad central del aviso — CVE-2026-111497 — merece una atención especial debido a la rápida transición desde su divulgación hasta la explotación activa. Ya hemos analizado en detalle esta vulnerabilidad en el contexto de su impacto en el ecosistema Brotli.
Un matiz importante en la evaluación de la gravedad: Node.js asigna a CVE-2026-111497 una calificación High, mientras que Rapid7 y Qualys indican un CVSS 9.2 Critical por parte del CNA. Fortinet en su aviso indica CVSSv3 9.8, sin embargo este valor corresponde a los metadatos de un documento multi-vulnerabilidad y está asociado a CVE-2026-106069: no es correcto extrapolarlo a los diez CVE.
La cronología de la explotación ha evolucionado muy rápidamente. Según Rapid7, a 26 de octubre de 2026 no se había registrado explotación activa. Sin embargo, el 27 de octubre CISA incluyó CVE-2026-111497 en el catálogo KEV, y la empresa Previdian registró un intento de explotación en sus sensores. Es importante subrayar: la telemetría de Previdian registra un intento de explotación, no una compromisión confirmada; por el momento no hay datos sobre ataques exitosos ni víctimas.
Como señala Rapid7, la explotación solo es posible cuando la aplicación descomprime datos controlados por un atacante en formato Brotli a través del módulo node:zlib. Esto significa que no todos los servicios en Node.js están expuestos al riesgo en la misma medida: el nivel de amenaza viene determinado por la existencia de una ruta de procesamiento de datos Brotli no confiables.
Alcance del impacto en los productos de Fortinet
El aviso FG-IR-26-187 enumera más de 40 productos de Fortinet con el estado «en investigación», incluidos FortiOS, FortiProxy, FortiSIEM, FortiMail, FortiSandbox, FortiNAC, FortiEDR, FortiSASE y muchos otros. Esto no significa que todos los productos mencionados sean vulnerables: la investigación continúa.
Al mismo tiempo, Fortinet ha confirmado que varios productos no se ven afectados: FortiManager, FortiAnalyzer, FortiClient (EMS, iOS, macOS, Windows), FortiAuthenticator, FortiWeb, FortiSOAR, FortiCamera y otros. Las organizaciones que utilicen productos de Fortinet deben seguir las actualizaciones del aviso para obtener el estado final de cada producto.
Fortinet está lejos de ser el único proveedor que evalúa el impacto. Se han publicado avisos sobre CVE-2026-111497 por parte de Cisco, F5, Red Hat, Ubuntu, Amazon Linux, Envoy Proxy, Bun, Microsoft .NET y otros. Según Wiz, en su conjunto de datos el 91% de los entornos en la nube contienen recursos vulnerables a CVE-2026-111497 y el 82% tienen instancias de Node.js accesibles públicamente. Estas cifras reflejan la muestra de Wiz y no constituyen una evaluación universal, pero indican la magnitud potencial de la superficie de ataque.
Recomendaciones prácticas
La prioridad de actualización debe determinarse según la alcanzabilidad del código vulnerable:
- Prioridad máxima: servicios accesibles desde Internet que procesan datos Brotli no confiables (servidores web con soporte de Content-Encoding: br, puertas de enlace API, proxies). Actualice Node.js a las versiones 22.23.4, 24.22.1 o 26.12.1.
- Alta prioridad: servicios que realizan consultas DNS salientes o conexiones TLS basadas en datos proporcionados por el usuario (relevante para CVE-2026-105482, CVE-2026-105483, CVE-2026-106069).
- Prioridad estándar: servicios internos que no procesan datos externos.
Es de importancia crítica que, como señala Qualys, el código vulnerable se encuentra en el propio entorno de ejecución de Node.js y no en los paquetes de las aplicaciones. Las comprobaciones estándar de dependencias a través de npm audit pueden no detectar el problema. El inventario debe abarcar contenedores, aplicaciones de un solo archivo (SEA), funciones serverless, entornos gestionados por gestores de versiones y copias integradas del runtime.
Node.js no ofrece soluciones temporales: la actualización es la única forma completa de eliminación. Las organizaciones que utilicen versiones de Node.js fuera de soporte deberían pasar a una rama con soporte. Para los usuarios de productos de Fortinet, es necesario seguir las actualizaciones del aviso FG-IR-26-187 para obtener el estado final de cada producto. El plazo de corrección exigido por CISA para las agencias federales de EE. UU. es el 10 de noviembre de 2026; es razonable que las organizaciones comerciales se orienten por el mismo horizonte.
