Microsoft publicó un parche de seguridad de emergencia para corregir una vulnerabilidad crítica en Brotli que afecta a .NET 8, .NET 9, .NET 10 y .NET 11 Release Candidate 3. La compañía emitió la actualización fuera de su calendario habitual, un domingo, después de confirmar que el fallo puede permitir la lectura o corrupción de memoria dentro de un proceso.
La corrección importa para desarrolladores, empresas y administradores de sistemas que utilizan aplicaciones .NET en Windows, Mac y Linux. La vulnerabilidad, identificada como CVE-2026-111497, está vinculada al procesamiento de datos comprimidos con Brotli, un algoritmo creado por Google y utilizado para reducir el tamaño de archivos que circulan por internet.
El fallo puede provocar filtraciones, bloqueos y ejecución de código
Rahul Bhandari, gerente sénior de programas de Microsoft .NET, confirmó que la vulnerabilidad fue descubierta el 22 de octubre y que corresponde a un desbordamiento de búfer. Este tipo de error ocurre cuando un programa intenta almacenar más información de la que puede manejar un área de memoria determinada.
Según la advertencia difundida por Microsoft, un atacante no autenticado podría leer o corromper la memoria de un proceso afectado. Las consecuencias potenciales incluyen divulgación de información, denegación de servicio y escalada de privilegios.
La falla también podría permitir la ejecución de código arbitrario mediante un flujo comprimido con Brotli manipulado. Esto significa que un actor malicioso podría intentar aprovechar datos especialmente preparados para alterar el comportamiento de una aplicación vulnerable.
El Centro de Respuesta de Seguridad de Microsoft clasificó el problema como crítico. Aunque la vulnerabilidad ya fue divulgada públicamente, la empresa indicó que no tiene pruebas de explotación activa. Sin embargo, su análisis de riesgo considera que la explotación es “más probable”.
Brotli permite comprimir datos sin perder información
Brotli es un algoritmo de compresión sin pérdida desarrollado por Google en 2015. Su función consiste en reducir el tamaño de datos como texto, código o imágenes sin modificar su contenido original. De esta manera, los archivos pueden trasladarse con mayor rapidez por internet.
El sistema utiliza un diccionario interno de palabras, frases y elementos de código. En lugar de repetir una secuencia completa de caracteres, puede reemplazarla por una referencia más corta que permite reconstruirla al descomprimir el archivo.
También identifica repeticiones dentro del contenido comprimido. Si una frase o bloque de información vuelve a aparecer, Brotli puede sustituirlo por una referencia en vez de enviarlo de nuevo completo. Esta lógica permite ahorrar espacio y mejorar la transferencia de datos.
Brotli puede ser cerca de un 20% más eficiente que sistemas de compresión anteriores, como Gzip. Esa ventaja explica su presencia en aplicaciones, servicios web y herramientas que necesitan procesar grandes volúmenes de información.
Las aplicaciones ASP.NET Core y HttpClient pueden estar expuestas
Microsoft advirtió que las aplicaciones pueden verse afectadas si procesan datos comprimidos con Brotli en varios escenarios. Entre ellos se encuentra la descompresión de solicitudes en ASP.NET Core, la descompresión automática de respuestas mediante HttpClient y el uso de las interfaces de Brotli incluidas en System.IO.Compression.
El riesgo aparece cuando una aplicación recibe y descomprime contenido manipulado. Por ello, la recomendación de la compañía es instalar las actualizaciones disponibles lo antes posible en todos los entornos afectados.
La medida alcanza a proyectos en desarrollo, servidores de producción y equipos que ejecuten versiones vulnerables de .NET. En organizaciones con múltiples aplicaciones, la revisión debe incluir tanto los sistemas expuestos a internet como los servicios internos que procesen archivos o respuestas comprimidas.
Microsoft también corrigió un fallo en Authenticator para Android
La actualización de .NET coincide con otra corrección de seguridad reciente de Microsoft. La empresa publicó un parche para una vulnerabilidad en Microsoft Authenticator para Android que podía permitir que una aplicación maliciosa instalada en el mismo teléfono obtuviera tokens de acceso de una cuenta laboral.
El fallo, identificado como CVE-2026-80097, afectaba versiones anteriores a la 6.2606.4246. Para aprovecharlo, una aplicación dañina debía estar instalada previamente en el dispositivo, por ejemplo, tras una descarga desde una fuente no confiable.
En el caso de Brotli, la prioridad es actualizar los entornos .NET afectados. En el de Authenticator, los usuarios deben comprobar la versión instalada desde Google Play Store y evitar aplicaciones descargadas fuera de tiendas oficiales.
