{"id":131618,"date":"2026-11-03T21:20:04","date_gmt":"2026-11-03T20:20:04","guid":{"rendered":"https:\/\/quondos.com\/mag\/?p=131618"},"modified":"2026-11-03T21:20:08","modified_gmt":"2026-11-03T20:20:08","slug":"un-fallo-critico-de-brotli-puede-tumbar-webs-wordpress-con-un-simple-pingback-aunque-wordpress-no-lo-incluya-toca-revisar-el-servidor","status":"publish","type":"post","link":"https:\/\/quondos.com\/mag\/un-fallo-critico-de-brotli-puede-tumbar-webs-wordpress-con-un-simple-pingback-aunque-wordpress-no-lo-incluya-toca-revisar-el-servidor\/","title":{"rendered":"Un fallo cr\u00edtico de Brotli puede tumbar webs WordPress con un simple pingback, aunque WordPress no lo incluya: toca revisar el servidor"},"content":{"rendered":"\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"576\" src=\"https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/11\/image-2-1024x576.png\" alt=\"\" class=\"wp-image-131619\" title=\"\" srcset=\"https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/11\/image-2-1024x576.png 1024w, https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/11\/image-2-300x169.png 300w, https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/11\/image-2-768x432.png 768w, https:\/\/quondos.com\/mag\/wp-content\/uploads\/2026\/11\/image-2.png 1200w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/figure>\n\n\n\n<p>Un fallo cr\u00edtico en una librer\u00eda que WordPress ni siquiera incluye puede tumbar webs WordPress desde fuera y sin iniciar sesi\u00f3n. La empresa de seguridad <strong>Patchstack<\/strong> alert\u00f3 el <strong>30 de octubre<\/strong> de que la vulnerabilidad <strong>CVE-2026-111497<\/strong>, bautizada como <strong>Broccoli2Shell<\/strong>, en el descompresor <strong>Brotli<\/strong> de Google, alcanza a las instalaciones de WordPress a trav\u00e9s de sus peticiones salientes. Con una sola petici\u00f3n se puede bloquear un proceso de PHP, y con muchas, mantener la web ca\u00edda. La soluci\u00f3n no est\u00e1 en el panel de WordPress, sino en el servidor.<\/p>\n<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_76 counter-hierarchy ez-toc-counter ez-toc-grey ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">\u00cdndice de contenidos<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Alternar tabla de contenidos\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #999;color:#999\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #999;color:#999\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/quondos.com\/mag\/un-fallo-critico-de-brotli-puede-tumbar-webs-wordpress-con-un-simple-pingback-aunque-wordpress-no-lo-incluya-toca-revisar-el-servidor\/#Un_fallo_critico_que_ya_se_esta_explotando\" >Un fallo cr\u00edtico que ya se est\u00e1 explotando<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/quondos.com\/mag\/un-fallo-critico-de-brotli-puede-tumbar-webs-wordpress-con-un-simple-pingback-aunque-wordpress-no-lo-incluya-toca-revisar-el-servidor\/#Como_llega_el_ataque_a_WordPress\" >C\u00f3mo llega el ataque a WordPress<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/quondos.com\/mag\/un-fallo-critico-de-brotli-puede-tumbar-webs-wordpress-con-un-simple-pingback-aunque-wordpress-no-lo-incluya-toca-revisar-el-servidor\/#Que_puede_pasar_caidas_confirmadas_ejecucion_de_codigo_sin_probar\" >Qu\u00e9 puede pasar: ca\u00eddas confirmadas, ejecuci\u00f3n de c\u00f3digo sin probar<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/quondos.com\/mag\/un-fallo-critico-de-brotli-puede-tumbar-webs-wordpress-con-un-simple-pingback-aunque-wordpress-no-lo-incluya-toca-revisar-el-servidor\/#Que_deberian_hacer_ya_los_responsables_de_webs_WordPress\" >Qu\u00e9 deber\u00edan hacer ya los responsables de webs WordPress<\/a><\/li><\/ul><\/nav><\/div>\n<h2><span class=\"ez-toc-section\" id=\"Un_fallo_critico_que_ya_se_esta_explotando\"><\/span>Un fallo cr\u00edtico que ya se est\u00e1 explotando<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Brotli es un formato de compresi\u00f3n muy usado en la web. Seg\u00fan Patchstack, el fallo es una <strong>escritura fuera de l\u00edmites<\/strong> en su decodificador que afecta a las versiones 1.0.3 a 1.2.0. Google, que asign\u00f3 el CVE, le da una puntuaci\u00f3n de <strong>9,2<\/strong>, y las versiones corregidas, 1.0.10, 1.1.1 y 1.2.1, se publicaron el 21 de octubre.<\/p>\n<p>La agencia de ciberseguridad de Estados Unidos, <strong>CISA<\/strong>, la a\u00f1adi\u00f3 el 27 de octubre a su cat\u00e1logo de vulnerabilidades explotadas activamente y ha fijado el <strong>10 de noviembre<\/strong> como plazo para que las agencias federales la corrijan. El Centro Canadiense de Ciberseguridad emiti\u00f3 una alerta el 28 de octubre en la que avisa de que el fallo tambi\u00e9n afecta a tecnolog\u00edas como Node.js, .NET, PowerShell o los paquetes de Brotli para Python.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Como_llega_el_ataque_a_WordPress\"><\/span>C\u00f3mo llega el ataque a WordPress<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>WordPress no incluye Brotli, pero usa la librer\u00eda <strong>libcurl<\/strong> del sistema operativo para sus conexiones salientes y le pide que descomprima autom\u00e1ticamente las respuestas, tambi\u00e9n las comprimidas con Brotli. Si un atacante consigue que la web se conecte a un servidor suyo, puede enviarle una respuesta manipulada que llega al decodificador vulnerable <strong>antes de que PHP vea ning\u00fan dato<\/strong>.<\/p>\n<p>La v\u00eda m\u00e1s peligrosa es el <strong>pingback<\/strong> de XML-RPC. Seg\u00fan Patchstack, no requiere autenticaci\u00f3n y basta con que haya una entrada publicada que acepte pingbacks, algo que ocurre en una instalaci\u00f3n por defecto. Hay otras v\u00edas: plugins y temas que descargan URLs indicadas por el usuario, el descubrimiento de oEmbed, que exige al menos una cuenta de colaborador, y la lectura de feeds configurados por el administrador.<\/p>\n<p>Patchstack advierte de una trampa habitual: el filtro <strong>xmlrpc_enabled<\/strong> no bloquea el pingback, porque este no necesita iniciar sesi\u00f3n. Y un cortafuegos de aplicaciones tampoco ayuda mucho, ya que la carga maliciosa no viaja en la petici\u00f3n que recibe la web, sino en la respuesta del servidor del atacante.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Que_puede_pasar_caidas_confirmadas_ejecucion_de_codigo_sin_probar\"><\/span>Qu\u00e9 puede pasar: ca\u00eddas confirmadas, ejecuci\u00f3n de c\u00f3digo sin probar<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>El impacto confirmado en WordPress es la <strong>denegaci\u00f3n de servicio<\/strong>. Una sola petici\u00f3n puede tumbar un proceso de PHP, y en el laboratorio una carga de menos de 100 bytes dej\u00f3 un proceso al 100 % de CPU. La fuga de memoria y la ejecuci\u00f3n remota de c\u00f3digo no est\u00e1n demostradas en PHP: seg\u00fan Patchstack, existen cadenas de ataque p\u00fablicas contra Node.js y Bun, pero ninguna contra PHP con Apache o PHP-FPM por ahora.<\/p>\n<p>Hay un detalle que complica la revisi\u00f3n. Debian y Ubuntu corrigen el fallo <strong>sin cambiar el n\u00famero de versi\u00f3n<\/strong>, as\u00ed que una librer\u00eda que dice ser la 1.1.0 puede estar parcheada o no. Patchstack recuerda adem\u00e1s que la imagen oficial de Docker wordpress:latest todav\u00eda inclu\u00eda, cuando public\u00f3 su an\u00e1lisis, un paquete libbrotli1 vulnerable.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Que_deberian_hacer_ya_los_responsables_de_webs_WordPress\"><\/span>Qu\u00e9 deber\u00edan hacer ya los responsables de webs WordPress<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>La prioridad es <strong>actualizar Brotli en el servidor<\/strong>: instalar la actualizaci\u00f3n de seguridad de libbrotli1 de la distribuci\u00f3n o pasar a una versi\u00f3n corregida, comprobando la revisi\u00f3n del paquete y no solo el n\u00famero de versi\u00f3n. En hosting compartido o gestionado, toca preguntar al proveedor si ya lo ha aplicado. Quien use Docker debe actualizar el paquete en su propia imagen hasta que se reconstruya la oficial.<\/p>\n<p>Mientras tanto, Patchstack propone medidas temporales que no arreglan el fallo pero cierran puertas: <strong>eliminar el m\u00e9todo pingback.ping<\/strong> de XML-RPC o bloquear xmlrpc.php en el servidor, desactivar la descompresi\u00f3n autom\u00e1tica de libcurl con el hook http_api_curl o enviar las conexiones salientes a trav\u00e9s de un proxy con lista blanca.<\/p>\n<p>Para detectar intentos, conviene vigilar respuestas salientes con <strong>Content-Encoding: br<\/strong>, errores de segmentaci\u00f3n en Apache o PHP-FPM, procesos bloqueados y peticiones POST a xmlrpc.php con pingbacks de or\u00edgenes desconocidos. Llega justo despu\u00e9s del parche 7.1.4 y confirma que la seguridad de WordPress depende cada vez m\u00e1s de toda la pila del servidor.<\/p>\n\n\n\n<p><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Un fallo cr\u00edtico en una librer\u00eda que WordPress ni siquiera incluye puede tumbar webs WordPress desde fuera y sin iniciar &#8230; <\/p>\n<p class=\"read-more-container\"><a title=\"Un fallo cr\u00edtico de Brotli puede tumbar webs WordPress con un simple pingback, aunque WordPress no lo incluya: toca revisar el servidor\" class=\"read-more button\" href=\"https:\/\/quondos.com\/mag\/un-fallo-critico-de-brotli-puede-tumbar-webs-wordpress-con-un-simple-pingback-aunque-wordpress-no-lo-incluya-toca-revisar-el-servidor\/#more-131618\" aria-label=\"Leer m\u00e1s sobre Un fallo cr\u00edtico de Brotli puede tumbar webs WordPress con un simple pingback, aunque WordPress no lo incluya: toca revisar el servidor\">Leer m\u00e1s<\/a><\/p>\n","protected":false},"author":850,"featured_media":131619,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[163],"tags":[],"class_list":["post-131618","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-diseno-web","generate-columns","tablet-grid-50","mobile-grid-100","grid-parent","grid-50","no-featured-image-padding"],"_links":{"self":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131618","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/users\/850"}],"replies":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/comments?post=131618"}],"version-history":[{"count":1,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131618\/revisions"}],"predecessor-version":[{"id":131620,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/posts\/131618\/revisions\/131620"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/media\/131619"}],"wp:attachment":[{"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/media?parent=131618"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/categories?post=131618"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/quondos.com\/mag\/wp-json\/wp\/v2\/tags?post=131618"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}