Palo Alto Networks publicó este 26 de octubre de 2026 un aviso sobre CVE-2026-111497, una falla en el decodificador de Google Brotli, mientras investiga su impacto en productos y servicios de nube. La clasifica como crítica, con puntuación CVSS 4.0 de 9.2, aunque señala una urgencia sugerida moderada y dice no tener conocimiento de explotación maliciosa.

🔒 El problema es un desbordamiento de búfer en c/dec/decode.c, presente en todas las plataformas según el aviso. Un atacante remoto sin autenticación podría enviar un flujo Brotli manipulado para corromper memoria del decodificador, revelar información sensible, provocar una denegación de servicio o, potencialmente, ejecutar código arbitrario.

🛠️ Ojo con las versiones: Palo Alto Networks señala como afectadas las de Brotli 1.0.3 a 1.2.0, pero recomienda 1.0.10, 1.1.1 o 1.2.1 como actualizaciones. Las dos primeras también quedan dentro del intervalo general que describe como vulnerable; esa inconsistencia necesita aclaración antes de elegir una versión como solución.

⚙️ Para los firewalls PA-Series y VM-Series con PAN-OS, el aviso vincula la exposición con tener activadas tanto la inspección de tráfico Brotli como la desencriptación TLS/SSL en el plano de datos; excluye la interfaz de administración web y API. También indica que la inspección Brotli no existe antes de PAN-OS 11.2.4, y que PAN-OS 11.1, 10.2 y Panorama, tanto virtual como M-Series, no están afectados.

☁️ La empresa gestiona directamente las correcciones de Idira - Session Monitoring and Recording, sin acciones necesarias para sus clientes; los productos Idira autohospedados no están afectados. Para Prisma Cloud - Application Security Transporter Client, identifica como vulnerable el intervalo desde 0.2.0 hasta antes de 0.2.9 y pide actualizar a la versión corregida; la evaluación del resto de su portafolio y servicios continúa.

¿Qué revisar si administras estos sistemas?

Brotli se utiliza en muchas aplicaciones basadas en HTTP, incluidas las de Node.js: no es un asunto exclusivo del firewall. Para PAN-OS, Palo Alto Networks anuncia correcciones en próximas versiones y recomienda mitigar mientras llegan; los límites de versión de su apartado CPE no deben confundirse con una confirmación de disponibilidad.

  • Consultar por CLI con show system setting brotli. El aviso identifica exposición cuando aparece Enabled: yes, o Enabled: Yes al consultar show system setting brotli-encoding, además de las condiciones de inspección y desencriptación descritas.
  • Revisar en Device > Setup > Content-ID si está marcada la opción Allow Brotli Encoding.
  • En PAN-OS 11.2.4 o posterior, desactivar globalmente la inspección Brotli mediante set system setting brotli-encoding disable y comprobar con show system setting brotli que aparezca Enabled: no.
  • El aviso también indica desmarcar Allow Brotli Encoding en la configuración de Content-ID.

Hay otra contradicción que conviene resolver con el fabricante: además de enumerar condiciones concretas de exposición para PAN-OS, el aviso incluye una afirmación general de que no se requiere configuración especial para resultar afectado. Por eso, no conviene usar esa frase aislada para decidir si un equipo está expuesto.

  • Desde 12.2.4 hasta antes de 12.2.4-h1.
  • Desde 12.1.10 hasta antes de 12.1.10-h3.
  • Desde 12.1.7 hasta antes de 12.1.7-h11.
  • Desde 12.1.4 hasta antes de 12.1.4-h13.
  • Desde 11.2.16 hasta antes de 11.2.16-h1.
  • Desde 11.2.13 hasta antes de 11.2.13-h4.
  • Desde 11.2.10 hasta antes de 11.2.10-h17.
  • Desde 11.2.7 hasta antes de 11.2.7-h23.
  • Desde 11.2.4 hasta antes de 11.2.4-h23.

💬 ¿Cómo identificas qué servicios y equipos de tu infraestructura procesan tráfico comprimido con Brotli?

¿Pero deveras? 🌵💚