CVE-2026-111497 (Node2Shell, HTTP2Shell, Brotli2Shell) es una escritura fuera de límites en el decodificador Brotli en C de Google, corregida en Brotli 1.2.1 y en el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA desde el 2026-10-27. Un cuerpo manipulado enviado con Content-Encoding: br puede ejecutar código en los servidores que descomprimen los cuerpos de petición, como Express 5 sobre un Node.js sin parchear.
El nuevo escudo 1009, «Brotli Request Body», rechaza con 403 y la página de bloqueo toda petición con cuerpo cuyo Content-Encoding incluya br, antes de que llegue a tu origen. Las peticiones sin cuerpo, las demás codificaciones y las respuestas no cambian. Un origen ya parcheado que recibe con razón cuerpos Brotli puede tener una excepción del WAF para el rule_id 1009 en su ruta; el rule_id 0 no lo apaga.
El borde no cubre las respuestas que descarga tu propio código ni el tráfico que llega directamente a tu origen. Actualiza Node.js, brotli de Python, PHP, .NET y libbrotli: consulta qué hace el borde y qué tienes que parchear tú.
Los eventos de los escudos en los eventos de seguridad llevan ahora el identificador del escudo como rule_id (hasta ahora 0), así que puedes filtrarlos, por ejemplo por la regla 1009.