Resumen del día: un fallo en el decodificador Brotli de Google alcanzó a Node.js, Bun, Envoy y paquetes de Python; una clave maestra filtrada permitió publicar una versión maliciosa de LiteLLM en PyPI; Google actualizó su política de privacidad sobre datos de Gmail y anuncios; y CISA sumó dos fallos explotados. Cuatro historias, un mensaje: la cadena de suministro digital es el nuevo perímetro.
1. Brotli: el fallo que viaja en el equipaje de todos
El decodificador Brotli de Google —ese que comprime casi todo lo que baja por la web— tiene una corrupción de memoria registrada como CVE-2026-111497. El problema no es solo de Google: cada programa que empaqueta su propia copia arrastra el mismo error. La lista incluye Node.js 22.x, 24.x y 26.x, Bun 1.4.3 y anteriores, Envoy, Istio, y los paquetes brotli y brotlicffi de Python.
“Datos comprimidos especialmente diseñados pueden sobrescribir más allá del final de un búfer y corromper la memoria del programa, provocando un fallo, una fuga de memoria o la ejecución de código controlado por el atacante.” — The Hacker News, 24 de octubre de 2026.
Imperva ya demostró ejecución de código en una compilación oficial de Node.js 24.22.0 para Linux arm64, exploit bautizado Node2Shell. No hay ataques reales reportados y ya hay parches: Node.js 22.23.4, 24.22.1 y 26.12.1; Bun 1.4.4; Brotli 1.2.1. Si tu backend corre Node o Bun, esta actualización no es opcional.
Fuente: The Hacker News
2. LiteLLM: una clave maestra olvidada y un paquete envenenado
LiteLLM confirmó que una clave maestra de su Agent Platform quedó publicada por accidente en un repositorio público en mayo de 2026. El equipo la detectó y reescribió el commit… pero nunca revocó la credencial. En octubre, un atacante la usó para extraer un token OAuth de GitHub con permisos de dueño, alterar el pipeline y publicar LiteLLM 1.107.0 en PyPI con código malicioso.
“El error se identificó rápidamente, el commit se sobrescribió y detectamos que las claves expuestas requerían revocación. Sin embargo, la revocación de la clave maestra no ocurrió.” — Oliver Jensen y Mateo Wang, LiteLLM.
PyPI puso en cuarentena la versión ese mismo día y Docker Hub retiró las imágenes afectadas. Lección para quien automatiza con agentes: rotar credenciales no es un trámite, es el control de seguridad.
Fuente: The Hacker News
3. Google: tus correos pueden personalizar anuncios
La política de privacidad de Google, vigente desde el 16 de octubre, explicita que si conectas Gmail, Drive o Photos a la IA de Search o Gemini, esos datos pueden personalizar contenido, “incluidos los anuncios”. En palabras de la compañía: “Search puede procesar parte de los datos que le permites acceder para personalizar contenido, incluidos los anuncios”.
El matiz importa: por defecto Google no usa Gmail o Drive para publicidad, pero eso cambia si activas Personal Intelligence y compartes esas apps con la IA. Se desactiva desde la personalización de Search. Si administras cuentas de empresa, revísalo hoy, no en la próxima auditoría.
Fuente: The Hacker News
4. CISA suma dos fallos explotados activamente
CISA agregó a su catálogo KEV dos vulnerabilidades con explotación confirmada: CVE-2026-110447 (CVSS 9.2), inyección de comandos en Collabora Online – Built-in CODE Server dentro de NextCloud, corregida en la versión 26.4.303; y CVE-2026-114625 (CVSS 9.9), inyección SQL en Arista VeloCloud Orchestrator on-premise, parcheada en 5.2.3.18, 6.1.3.10 y 6.4.2.12.
Traducción para PYMES: si tienes NextCloud con edición de documentos o red virtualizada, verifica versión esta semana. Los atacantes no esperan al comité de cambios.
Fuente: The Hacker News
Lo que esto significa para tu negocio
Las cuatro noticias apuntan al mismo punto: ya no basta proteger la puerta de entrada, hay que vigilar toda la cadena —dependencias, credenciales, pipelines y políticas de datos—. Automatizar sin gobernar identidades es construir sobre terreno blando.
En W-ADMIN automatizamos con rotación de secretos, monitoreo de dependencias y revisión de permisos desde el día uno. Porque la velocidad solo sirve si el barco no se hunde. ¿Revisamos tu stack?