# CVE-2026-111497 (Node2Shell): el escudo 1009 rechaza los cuerpos de petición Brotli

> El borde rechaza las peticiones cuyo cuerpo va con Content-Encoding br, la vía del fallo explotado del decodificador Brotli. Parchea también servidores y clientes.

CVE-2026-111497 (Node2Shell, HTTP2Shell, Brotli2Shell) es una escritura fuera de límites en el decodificador Brotli en C de Google, corregida en Brotli 1.2.1 y en el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA desde el 2026-10-27. Un cuerpo manipulado enviado con `Content-Encoding: br` puede ejecutar código en los servidores que descomprimen los cuerpos de petición, como Express 5 sobre un Node.js sin parchear.

El nuevo [escudo 1009, «Brotli Request Body»](https://developers.openwaf.dev/es/waf/shields/#brotli-request-body), rechaza con `403` y la página de bloqueo toda petición con cuerpo cuyo `Content-Encoding` incluya `br`, antes de que llegue a tu origen. Las peticiones sin cuerpo, las demás codificaciones y las respuestas no cambian. Un origen ya parcheado que recibe con razón cuerpos Brotli puede tener una [excepción del WAF](https://developers.openwaf.dev/es/waf/waf-exceptions/) para el `rule_id` `1009` en su ruta; el `rule_id` `0` no lo apaga.

El borde no cubre las respuestas que descarga tu propio código ni el tráfico que llega directamente a tu origen. Actualiza Node.js, `brotli` de Python, PHP, .NET y `libbrotli`: consulta [qué hace el borde y qué tienes que parchear tú](https://developers.openwaf.dev/es/waf/cve-2026-111497/).

Los eventos de los escudos en los [eventos de seguridad](https://developers.openwaf.dev/es/analytics/security-events/) llevan ahora el identificador del escudo como `rule_id` (hasta ahora `0`), así que puedes filtrarlos, por ejemplo por la regla `1009`.