Volver a la tendencia del día: PHP actualiza herramientas web de Windows para corregir un fallo que permitiría ejecutar código
Ranking Poly · de la tendencia del día

Algoritmos de compresión de datos: Top 10 de códecs web, 2026

Zstandard descomprime 3,6 veces más rápido que Brotli (1.550 frente a 425 MB/s) con una diferencia de tasa de compresión de 0,4%, y en octubre de 2026 fue el decodificador de Brotli el que tuvo una escritura remota fuera de límites, calificada con 9,8.

  • N.º 1: Zstandard (zstd)
  • 10 puestos

01Lista final

Las IA líderes armaron cada una su propia lista de diez, de forma independiente. Aquí hay un resultado fácil de comprobar: cada puesto tiene un motivo, una fuente y la lista de IA que lo incluyeron.

Orden: de mayor a menor acuerdo entre las IA.

Una etiqueta brillante significa que esa IA puso el elemento en su lista. Una tenue, que no.

  1. 1

    Zstandard (zstd)

    Descomprime a 1.550 MB/s frente a los 425 de Brotli, con una tasa casi igual (2,896 frente a 2,883). Sus pocos CVE afectan a la herramienta de línea de comandos, no al decodificador. En recursos web sigue ganando Brotli, con 3,08 frente a 2,86.

    Lo incluyeron: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. No lo incluyeron: ChatGPT, Wenxin.

    En sus listas: Meta: ver lista · Grok: ver lista · Gemini: ver lista · Nova: 1 · StepFun: ver lista · Kimi: ver lista · DeepSeek: ver lista · Qwen: ver lista

    Qué señaló cada IA 8
    • Meta

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Grok

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Gemini

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Novapuesto 1

      Descomprime a 200-400 MB/s con una relación de 2,5-3,5x, pero su fallo de validación de flujos de 2026 elevó el riesgo de denegación de servicio.

      Fuente ↗
    • StepFun

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Kimi

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • DeepSeek

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Qwen

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    8 IA lo pusieron aquí
  2. 2

    gzip / DEFLATE (zlib)

    Sigue comprimiendo el 60% del JavaScript web, frente al 29% de Brotli. Descomprime a 390 MB/s con una tasa de 2,743, y su decodificador zlib tiene 19 CVE, entre ellos CVE-2022-37434, calificado con 9,8.

    Lo incluyeron: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. No lo incluyeron: ChatGPT, Wenxin.

    En sus listas: Meta: 2 · Grok: 2 · Gemini: 2 · Nova: 3 · StepFun: 2 · Kimi: 2 · DeepSeek: 2 · Qwen: 1

    Qué señaló cada IA 8
    • Metapuesto 2

      El 82% de los sitios sirven gzip mediante zlib – en PHP, el gzip de Python, el zlib de Node, el Zlib de Ruby y cada compilación de Nginx; desbordamiento de heap de CVE-2022-37434 por un campo extra grande de la cabecera gzip

    • Grokpuesto 2

      Enlazada en casi todos los entornos de lenguaje y servidores web; unos cuantos desbordamientos críticos de heap (incluidos los de 2022 y 2026) siguen apareciendo pese a décadas de auditoría.

    • Geminipuesto 2

      Enlazada en silencio en los entornos de Node.js, Python y PHP por igual, deja el 47,1% de las respuestas de servidores HTTP dependiendo de un modelo de memoria de 30 años.

    • Novapuesto 3

      El compresor original de la web, que aún maneja el 80% del tráfico HTTP con una relación de 1,5-2x, pero lastrado por fallos históricos de zlib.

      Fuente ↗
    • StepFunpuesto 2

      19 CVE, y un desbordamiento de heap en inflate() que estuvo en la ruta por defecto de gzip HTTP hasta la versión 1.2.12.

    • Kimipuesto 2

      Incluida en PHP, Node, Python y curl, e incluso enlazada dentro de OpenSSL; su peor fallo de inflate() obtuvo 9,8.

    • DeepSeekpuesto 2

      19 CVE desde 2002, 9 con exploits públicos y un desbordamiento de heap CVSS 9,8 en inflate: el descompresor detrás de gzip, PNG y numerosas pilas HTTP.

    • Qwenpuesto 1

      El pulmón invisible de internet: comprime el 90% del tráfico web y, sin hacer ruido, deja caer CVE de corrupción de memoria cada pocos años.

      Fuente ↗
    8 IA lo pusieron aquí
  3. 3

    LZ4

    El decodificador más rápido, con 3.850 MB/s, pero solo con una tasa de 2,101, lo que significa archivos más grandes que con zstd. Algunas IA afirmaron que no tiene CVE, pero CVE-2021-3520 es un desbordamiento de enteros real que provoca corrupción de memoria.

    Lo incluyeron: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. No lo incluyeron: ChatGPT, Wenxin.

    En sus listas: Meta: ver lista · Grok: ver lista · Gemini: ver lista · Nova: 4 · StepFun: ver lista · Kimi: ver lista · DeepSeek: ver lista · Qwen: ver lista

    Qué señaló cada IA 8
    • Meta

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Grok

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Gemini

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Novapuesto 4

      El descompresor más rápido, con más de 500 MB/s, pero solo con una relación de 1,5-2x; su sencillez evita las vulnerabilidades complejas de Brotli y Zstd.

      Fuente ↗
    • StepFun

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Kimi

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • DeepSeek

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Qwen

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    8 IA lo pusieron aquí
  4. 4

    Brotli

    Comprime mejor el texto web: 3,08:1 frente al 2,56 de gzip en los recursos de Cloudflare, y un 19% más pequeño en el nivel 11. El precio es CVE-2026-111497, una escritura fuera de límites con calificación de 9,8 en las versiones de la 1.0.3 a la 1.2.0.

    Lo incluyeron: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. No lo incluyeron: ChatGPT, Wenxin.

    En sus listas: Meta: 7 · Grok: 5 · Gemini: 9 · Nova: 2 · StepFun: 7 · Kimi: 9 · DeepSeek: ver lista · Qwen: ver lista

    Qué señaló cada IA 8
    • Metapuesto 7

      Decodificador C incluido en zlib de Node, Bun, brotli de Python y en las compilaciones de PHP para Windows 8.2-8.5 – CVE-2026-111497, ejecución remota de código Node2Shell/HTTP2Shell en todos los ecosistemas

      Fuente ↗
    • Grokpuesto 5

      La biblioteca que obligó a reconstruir de urgencia PHP para Windows el 26 de octubre de 2026; una escritura crítica fuera de límites en el decodificador se extendió por Node, Python, .NET y PHP.

      Fuente ↗
    • Geminipuesto 9

      Incluida de forma nativa en PHP y Node.js para la decodificación rápida de flujos, donde una escritura fuera de límites de octubre de 2026 obligó a reconstruir urgentemente los binarios de varias versiones.

      Fuente ↗
    • Novapuesto 2

      El compresor de Google, de relación 4-5x, usado en PHP 8.2+; pero CVE-2026-111497 convirtió la descompresión en un vector de ejecución remota de código.

    • StepFunpuesto 7

      La entrada más reciente de esta lista, y la única que recibió un fallo de ejecución remota de código en un decodificador incluido en Node.js, Bun, PHP y Python al mismo tiempo.

    • Kimipuesto 9

      La biblioteca más joven de aquí, y ya es una ejecución remota de código sin autenticar en explotación: el patrón exacto de «descompresión de entrada» del que trata la historia de contexto.

    • DeepSeek

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Qwen

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    8 IA lo pusieron aquí
  5. 5

    Snappy

    Descomprime a 1.500 MB/s con una tasa de 2,089 y omite por completo la codificación Huffman. Su CVE conocido (CVE-2023-43642) está en el envoltorio snappy-java, no en el núcleo en C++.

    Lo incluyeron: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. No lo incluyeron: ChatGPT, Nova.

    En sus listas: Meta: ver lista · Grok: ver lista · Gemini: ver lista · StepFun: ver lista · Kimi: ver lista · DeepSeek: ver lista · Wenxin: ver lista · Qwen: ver lista

    Qué señaló cada IA 8
    • Meta

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Grok

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Gemini

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • StepFun

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Kimi

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • DeepSeek

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Wenxin

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Qwen

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    8 IA lo pusieron aquí
  6. 6

    XZ / LZMA

    La tasa más alta de esta lista (3,43 en una prueba de SquashFS en el kernel), pero solo 35 MB/s al descomprimir. Su peor CVE, el CVE-2024-3094 con calificación de 10,0, fue una puerta trasera escondida a propósito, no un error de análisis.

    Lo incluyeron: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. No lo incluyeron: ChatGPT, Nova.

    En sus listas: Meta: ver lista · Grok: ver lista · Gemini: ver lista · StepFun: ver lista · Kimi: ver lista · DeepSeek: ver lista · Wenxin: ver lista · Qwen: ver lista

    Qué señaló cada IA 8
    • Meta

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Grok

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Gemini

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • StepFun

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Kimi

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • DeepSeek

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Wenxin

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Qwen

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    8 IA lo pusieron aquí
  7. 7

    bzip2

    Descomprime a 34–90 MB/s según la prueba, demasiado lento para HTTP en tiempo real. Su escritura fuera de límites de 2019 (CVE-2019-12900) tiene 9,8 en NVD pero 4,4 en Red Hat.

    Lo incluyeron: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. No lo incluyeron: ChatGPT, Nova.

    En sus listas: Meta: ver lista · Grok: ver lista · Gemini: ver lista · StepFun: ver lista · Kimi: ver lista · DeepSeek: ver lista · Wenxin: ver lista · Qwen: ver lista

    Qué señaló cada IA 8
    • Meta

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Grok

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Gemini

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • StepFun

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Kimi

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • DeepSeek

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Wenxin

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Qwen

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    8 IA lo pusieron aquí
  8. 8

    LZO

    Creado para descomprimir en tiempo real: 217 MB/s y una tasa de 2,64 en una prueba de SquashFS, con 780 MB/s anunciados en otras pruebas. Su desbordamiento de enteros de 2014 (CVE-2014-4607) mostró lo mal que envejece el código rápido antiguo en C.

    Lo incluyeron: Meta, Grok, Gemini, StepFun, DeepSeek. No lo incluyeron: ChatGPT, Nova, Kimi, Wenxin, Qwen.

    En sus listas: Meta: ver lista · Grok: ver lista · Gemini: ver lista · StepFun: ver lista · DeepSeek: ver lista

    Qué señaló cada IA 5
    • Meta

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Grok

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Gemini

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • StepFun

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • DeepSeek

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    5 IA lo pusieron aquí
  9. 9

    Zopfli

    Hace que la salida de DEFLATE sea un 3–8% más pequeña, con unas 81–100 veces más tiempo de compresión. No añade superficie de ataque en el decodificador, porque cualquier cliente gzip puede leer su salida.

    Lo incluyeron: StepFun, Kimi, Qwen. No lo incluyeron: ChatGPT, Meta, Grok, Gemini, Nova, DeepSeek, Wenxin.

    En sus listas: StepFun: ver lista · Kimi: ver lista · Qwen: ver lista

    Qué señaló cada IA 3
    • StepFun

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Kimi

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Qwen

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    3 IA lo pusieron aquí
  10. 10

    LZW (Unix compress)

    El codificador de diccionario de los años 80 detrás de compress de Unix y de GIF. Su patente expiró el 20 de junio de 2003, y los navegadores nunca lo decodificaron de forma nativa, así que hoy no aporta ninguna mejora en la red.

    Lo incluyeron: Meta, Kimi. No lo incluyeron: ChatGPT, Grok, Gemini, Nova, StepFun, DeepSeek, Wenxin, Qwen.

    En sus listas: Meta: ver lista · Kimi: ver lista

    Qué señaló cada IA 2
    • Meta

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    • Kimi

      En su propia lista tiene otro nombre: abre la lista completa.

      ver lista
    2 IA lo pusieron aquí

Más sobre los tres primeros ↓

02Más sobre los tres primeros

El ranking está arriba. Aquí tiene más sobre los tres primeros puestos: qué son, por qué están aquí y qué vale la pena saber.

Los tres se ordenan según una mezcla de relación de compresión, velocidad de descompresión y fallos del descompresor, así que la velocidad por sí sola no fija el orden: LZ4 descomprime más rápido, pero queda tercero. La velocidad y la relación salen del mismo test Silesia, mientras que las cifras de cuota web (60% frente a 29%) miden otra cosa

1Zstandard (zstd)

N.º 1 — Zstandard (zstd). En las listas de 8 de 10 IA; puesto mediano allí: 1. Descomprime unas 3,6 veces más rápido que Brotli con una relación de compresión casi igual, y sus pocos fallos están fuera del descompresor.

¿Sabía que…?

  • En 2018 Canonical probó zstd en nivel 19 con paquetes .deb de Ubuntu. La descompresión fue mucho más rápida que con xz, pero los paquetes salieron alrededor de un 6% más grandes. Después, Arch Linux dijo que su cambio a zstd hizo la descompresión 14 veces más rápida, con un aumento de tamaño del 0,8%.

Qué es
Herramienta de compresión rápida que Facebook (Meta) publicó en 2016.
Su ventaja
Descomprime 3,6 veces más rápido que Brotli, con casi la misma relación de compresión.
Para quién
Sirve para servidores que quieren velocidad y archivos pequeños; es más débil donde los navegadores o las redes de distribución de contenido (CDN) no lo soportan.
  • Velocidad de descompresión y relación1.550 MB/s al descomprimir, relación 2,896

Wikipedia · Wikidata

Por qué está aquí
  • En la prueba oficial lzbench sobre el conjunto Silesia, zstd 1.5.7 descomprime datos a 1550 MB/s. Brotli 1.1.0 llega a 425 MB/s y zlib a 390 MB/s. Eso es unas 3,6 veces más rápido que Brotli.

  • La misma tabla da a zstd la mejor relación de compresión: 2,896. Brotli está en 2,883, zlib en 2,743, LZ4 en 2,101 y Snappy en 2,089. Comprime a 510 MB/s, frente a los 290 de Brotli y los 105 de zlib.

¿Sabía que…?
  • Zstandard puede bajar del nivel 1. Sus niveles van desde menos 7, el más rápido, hasta 22, el más fuerte pero el más lento al comprimir. Así, una sola herramienta cubre tanto la compresión ligera y rápida como la compresión muy intensa.

Historia
  • En 2016 Facebook (hoy Meta) publicó Zstandard 1.0 con licencia BSD. Se diseñó para ser más rápido que Deflate, el método detrás de zip y gzip, que durante dos décadas había dado un buen equilibrio entre velocidad y tamaño.

A tener en cuenta
  • Para archivos que se guardan una vez y se sirven muchas veces, Brotli en nivel 11 todavía dio los archivos más pequeños en una prueba. Zstd en nivel 19, eso sí, comprimió unas cuatro veces más rápido.

  • El soporte en navegadores es más reciente. Chrome añadió zstd en la versión 123 (2024). En la discusión de Chromium, el motor de Firefox (Gecko) no había dado ninguna señal todavía, y muchas redes de distribución de contenido (CDN) tardaban en sumarse.

Qué dice la gente
  • Brotli appears to outperform zStandard in both compression ratio and compression time up until level 9 for this response. — Paul Calvano

Dónde seguir
  • Abra el README y vaya a su sección Benchmarks. Compare las filas de zstd con las de Brotli, zlib y LZ4, y fíjese en qué tan rápido descomprime zstd frente a su relación de compresión.

Comparar los tres primeros ↓

2gzip / DEFLATE (zlib)

N.º 2 — gzip / DEFLATE (zlib). En las listas de 8 de 10 IA; puesto mediano allí: 2. Sigue comprimiendo la mayoría del JavaScript web y funciona en todas partes, pero es el que más lento descomprime de los tres y tiene un fallo crítico en el descompresor.

¿Sabía que…?

  • Mark Adler escribió el código de descompresión de zlib junto con Jean-loup Gailly, que escribió el de compresión. Adler también trabajó en la misión Mars Exploration Rover de la NASA, dirigiendo un estudio sobre el concepto que luego fue elegido para la misión de 2003.

Qué es
El método gzip clásico, integrado en casi todos los lenguajes y servidores web.
Su ventaja
El más usado: comprime el 60% del JavaScript de la web; Brotli, solo el 29%.
Para quién
Sirve para sistemas heredados que deben funcionar en todas partes; mala elección si se busca velocidad o archivos pequeños.
  • Velocidad de descompresión y relación390 MB/s al descomprimir, relación 2,743

Wikipedia · Wikidata

Por qué está aquí
  • zlib 1.3.1 es el más lento y el más débil de los tres en la prueba oficial Silesia. Descomprime a 390 MB/s, frente a los 1550 de zstd. Comprime a 105 MB/s con una relación de 2,743.

  • El descompresor de zlib (inflate) tiene un fallo grave, CVE-2022-37434, en zlib hasta la versión 1.2.12. Un campo grande de la cabecera gzip puede provocar un desbordamiento de búfer. Tiene calificación 9,8 (crítica), y solo se ven afectados los programas que llaman a inflateGetHeader.

Historia
  • La primera versión pública de zlib, la 0.9, salió el 1 de mayo de 1995. Se pensó originalmente para la biblioteca de imágenes libpng, y la escribieron Jean-loup Gailly y Mark Adler.

Qwen lo pusieron primero. Qué vieron en él
  • Qwen: El pulmón invisible de internet: comprime el 90% del tráfico web y, sin hacer ruido, deja caer CVE de corrupción de memoria cada pocos años.

Comparar los tres primeros ↓

3LZ4

N.º 3 — LZ4. En las listas de 8 de 10 IA; puesto mediano allí: 4. El descompresor más rápido por mucho, pero su baja relación de compresión significa archivos más grandes, y tiene un fallo real en el descompresor.

¿Sabía que…?

  • LZ4 está integrado en el núcleo de Linux desde la versión 3.11. FreeBSD, Illumos, ZFS on Linux y ZFS-OSX también lo usan para la compresión sobre la marcha en sus sistemas de archivos ZFS.

Qué es
Un compresor muy sencillo, pensado para la velocidad, publicado en 2011.
Su ventaja
Descomprime a 3.850 MB/s, unas 2,5 veces más rápido que zstd.
Para quién
Sirve para trabajos donde la velocidad pesa más que el tamaño; no para enviar archivos por la web.
  • Velocidad de descompresión y relación3.850 MB/s al descomprimir, relación 2,101

Wikipedia · Wikidata

Por qué está aquí
  • LZ4 1.10.0 descomprime a 3850 MB/s, el más rápido de la prueba oficial Silesia. Eso es unas 2,5 veces los 1550 MB/s de zstd. El costo es una relación de 2,101, frente al 2,896 de zstd, así que los archivos quedan más grandes.

  • LZ4 sí tiene un fallo en el descompresor, CVE-2021-3520. Un archivo manipulado puede provocar un desbordamiento de entero y una escritura fuera de límites. NVD (base estadounidense de vulnerabilidades) le da una puntuación de 9,8, mientras que Red Hat le da 8,6.

    Fuente ↗ ✓ confirmado por varias IA
¿Sabía que…?
  • LZ4 no tiene una etapa de codificación por entropía, a diferencia de DEFLATE, que usa codificación de Huffman. Cada fragmento de datos empieza con un token de un byte. Se divide en dos mitades de 4 bits: una para la cantidad de literales y otra para la longitud de la coincidencia.

Historia
  • En 2011 Yann Collet publicó LZ4 apenas una o dos semanas después de que Google liberara como código abierto Snappy, un compresor rápido parecido. LZ4 terminó superando a Snappy en velocidad.

Qué dice la gente
  • I could only see an `acceleration` value to tune in the `lz4.h` file, which would allow me to make LZ4 even faster — ahf

Dónde seguir
  • Abra el README en su sección Benchmarks. Vea cómo LZ4 descomprime más rápido y luego mire su relación de compresión. Esa relación más baja es el precio: archivos más grandes para enviar por la web.

Comparar los tres primeros ↓

Los tres primeros, lado a lado

Zstandard (zstd)gzip / DEFLATE (zlib)LZ4
En las listas de las IA8 / 108 / 108 / 10
Velocidad de descompresión y relación1.550 MB/s al descomprimir, relación 2,896390 MB/s al descomprimir, relación 2,7433.850 MB/s al descomprimir, relación 2,101
Primero paraNovaQwen—

Los puestos con el mismo número de IA se ordenan por su puesto medio en las listas de las IA.

03Vale la pena saber

Lo que notaron las IA al armar la lista.

La diferencia de tasa entre zstd y Brotli depende del conjunto de datos de prueba: 0,4% en Silesia (2,896 frente a 2,883), pero 7% en los recursos web de Cloudflare (2,86 frente a 3,08), donde ayuda el diccionario web integrado de Brotli.

Lo notaron:
Lo incluyeron: Meta, Grok, StepFun, DeepSeek. No lo incluyeron: ChatGPT, Gemini, Nova, Kimi, Wenxin, Qwen.
Fuente ↗

Pasar del nivel 1 al 11 de Brotli sube la tasa de 2,53 a 3,88 en enwik8, mientras que la velocidad de compresión baja de 111,72 MB/s a 0,35 MB/s.

Lo notaron:
Lo incluyeron: ChatGPT. No lo incluyeron: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Wenxin, Qwen.
Fuente ↗

CVE-2026-111497 afectó a todas las versiones de Brotli de la 1.0.3 a la 1.2.0 en todas las plataformas. Llegó a los entornos de ejecución a través de copias incluidas en paquetes de Node.js, Bun, PHP y Python.

Lo notaron:
Lo incluyeron: Meta, Grok, StepFun, Kimi. No lo incluyeron: ChatGPT, Gemini, Nova, DeepSeek, Wenxin, Qwen.
Fuente ↗

Las cifras de MB/s no coinciden entre pruebas: la tabla de zstd indica 1.550 frente a 425 MB/s para zstd y Brotli, mientras que el responsable de zstd informa de unos 700 frente a 500 MB/s en páginas web.

Lo notaron:
Lo incluyeron: Meta, StepFun, DeepSeek. No lo incluyeron: ChatGPT, Grok, Gemini, Nova, Kimi, Wenxin, Qwen.
Fuente ↗

04Lo que la gente pregunta

¿Qué es un algoritmo de compresión?

Un método que guarda los datos con menos bits eliminando la redundancia. Los códecs sin pérdida, como zstd, reducen el conjunto de prueba Silesia con una tasa de 2,896 y lo restauran exactamente.

Fuente ↗
¿Cómo funcionan los algoritmos de compresión?

Sustituyen las cadenas repetidas por referencias hacia atrás (LZ77) y luego codifican el resultado por entropía con Huffman o FSE. Brotli también usa un diccionario integrado de unos 120 KB de fragmentos web comunes.

¿Cuál es el algoritmo de compresión más potente?

En tasa de compresión, LZMA/xz y Brotli con la configuración máxima. Brotli en el nivel 11 llega a 3,88:1 en enwik8, pero comprime a solo 0,35 MB/s.

¿Por qué no coinciden las pruebas de compresión?

Los resultados cambian según el conjunto de datos, el nivel y la máquina. La misma pareja zstd y Brotli mide 1.550 frente a 425 MB/s en una prueba y unos 700 frente a 500 MB/s en otra.

Fuente ↗

05Cómo lo calculamos

En palabras sencillas, sin fórmulas.

1La pregunta

Top 10 de algoritmos de compresión web por eficiencia en la red frente a superficie de ataque en memoria

2Dónde aplica

estándares web globales e ingeniería de protocolos de red

3Qué miramos

  • Velocidad de descompresión y reducción de la carga transferida frente a las cargas HTTP sin comprimir
  • Complejidad estructural del análisis y densidad histórica de vulnerabilidades en los decodificadores de referencia en C
  • Prueba oficial de Zstandard (lzbench, conjunto Silesia, i7-9700K) — tasa de compresión y velocidad de compresión y descompresión en MB/s para zstd, Brotli, zlib, LZ4 y Snappy
  • Prueba de recursos web de Cloudflare (a través de OpenReplay) — tasa de compresión media en recursos web reales: gzip 2,56, zstd 2,86, Brotli 3,08
  • HTTP Archive, Web Almanac 2024 — qué códec comprime de verdad las respuestas web rastreadas
  • Base Nacional de Datos de Vulnerabilidades (NVD) del Instituto Nacional de Estándares y Tecnología / OpenCVE — CVE de corrupción de memoria y de denegación de servicio en el decodificador de referencia en C de cada códec

4Quién clasificó

Las IA líderes: ChatGPT, Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Wenxin, Qwen. Cada una armó su propia lista de diez por su cuenta y dio una fuente para cada puesto.

5Cómo se fijaron los puestos

Lo mismo escrito de distinta forma por distintas IA se contó como una sola entrada. Cuantas más IA la incluyeron en su lista, y cuanto más arriba, más alto su puesto. «Acuerdo de las IA» muestra cuántas IA la tenían en su propia lista. Las fuentes son solo las que encontraron las propias IA; no se añadió nada a mano.

06La lista de cada IA

🇺🇸 ChatGPT10 puestos · 3 notas

La misma pregunta, respondida solo por ChatGPT. La lista final de arriba combina todas las IA.

  1. 1
    Brotli (br)

    El ganador orientado a la web tiene una nota incómoda: un flujo malformado expuso un fallo del decodificador con CVSS 3.1 de 9,8.

  2. 2
    Zstandard (zstd)

    Una alternativa moderna y rápida puede decodificar a casi 479 MiB/s en una prueba de corpus publicada, aunque eso no es una garantía específica de HTTP.

  3. 3
    Gzip / DEFLATE

    El campeón de compatibilidad sigue siendo convincente: en un benchmark de texto, gzip -6 y zstd 3 produjeron la misma salida de 1,48 MB, pero zstd terminó la compresión antes.

  4. 4
    LZ4

    En una prueba de corpus mixto, LZ4 decodificó a 742,106 MiB/s, lo que ilustra el atractivo de la velocidad cuando el ahorro de ancho de banda es secundario.

    Fuente ↗
  5. 5
    Snappy

    Snappy prioriza la velocidad de descompresión y la integración sencilla sobre exprimir hasta el último byte de una carga.

    Fuente ↗
  6. 6
    Deflate (flujo DEFLATE en bruto)

    Quitar la envoltura de gzip no cambia la codificación DEFLATE subyacente, pero sí cambia el contrato de formato y las expectativas de interoperabilidad.

  7. 7
    LZMA / XZ

    La relación puede ser excelente, pero una prueba de texto publicada tardó 1.771 ms en comprimir 10,07 MB con xz -6.

  8. 8
    Bzip2

    Su enfoque de ordenación por bloques puede mejorar el tamaño frente a gzip en algunos corpus, pero el decodificador es mucho más lento que los códecs rápidos modernos en la prueba citada.

  9. 9
    LZHAM

    Su presencia en comparativas amplias de códecs lo hace útil como referencia de alta compresión, pero no es una opción por defecto de codificación de contenido HTTP.

    Fuente ↗
  10. 10
    LZHAM / modos de alta compresión de la familia LZMA

    En el extremo, una relación extra suele costar desproporcionadamente más tiempo y memoria de codificación, lo que lo hace un mal predeterminado para respuestas web sensibles a la latencia.

    Fuente ↗

Lo que notó ChatGPT

Zstandard y LZ4 pueden ser atractivos cuando importa el coste de CPU: la prueba de corpus mixto citada da 478,733 MiB/s de descompresión para zstd y 742,106 MiB/s para LZ4, y LZ4 da una relación de compresión peor en esa prueba.

El incidente de Brotli de octubre de 2026 recuerda que la relación de compresión del codificador no dice nada sobre si el decodificador rechaza con seguridad la entrada malformada.

El riesgo de un algoritmo de descompresión no se mide solo con el número de CVE: un único fallo de decodificador en la causa raíz puede afectar a muchos paquetes de lenguaje, y las denegaciones de servicio y las corrupciones de memoria tienen consecuencias distintas.

🇺🇸 Meta10 puestos

La misma pregunta, respondida solo por Meta. La lista final de arriba combina todas las IA.

  1. 1
    OpenSSL (libssl, libcrypto)

    Incluido en Node.js, Python, PHP 8.x y .NET 8/9/10 – el 69,3% de la web en PHP sigue funcionando con él; 14 vulnerabilidades corregidas en septiembre de 2026, entre ellas CVE-2026-84782, CVSS 8,2, fuga de heap en DTLS

  2. 2
    zlib (libz)

    El 82% de los sitios sirven gzip mediante zlib – en PHP, el gzip de Python, el zlib de Node, el Zlib de Ruby y cada compilación de Nginx; desbordamiento de heap de CVE-2022-37434 por un campo extra grande de la cabecera gzip

  3. 3
    libcurl

    Impulsa la descompresión automática de PHP con cURL y CURLOPT_ENCODING, la que activó el fallo de ejecución remota de código de Brotli; Guzzle deja ese valor vacío por defecto – 33 CVE en un análisis de SBOM, 6 críticas según una auditoría

    Fuente ↗
  4. 4
    libxml2

    Analizador XML en DOM de PHP, lxml de Python y .NET – 17 vulnerabilidades en la 2.9.10 según cvedetails, 4 de denegación de servicio en Ubuntu USN-7974-1: CVE-2025-8732, CVE-2026-0989/0990/0992

  5. 5
    PCRE / PCRE2 (libpcre)

    Motor de expresiones regulares tras preg_ de PHP, re de Python y Nginx – CVE-2007-1660, desbordamiento de búfer mediante múltiples formas de clase de caracteres; CVE-2008-2371, desbordamiento de heap en pcre_compile

  6. 6
    SQLite (libsqlite3)

    Base de datos embebida en PDO de PHP, sqlite3 de Python y sqlite de Node – CVE-2026-51297, uso tras liberar en el análisis de JSON con ejecución remota de código; CVE-2019-5018, CVSS 8,1, remota mediante SQL manipulado

  7. 7
    Brotli (libbrotlidec / libbrotlienc)

    Decodificador C incluido en zlib de Node, Bun, brotli de Python y en las compilaciones de PHP para Windows 8.2-8.5 – CVE-2026-111497, ejecución remota de código Node2Shell/HTTP2Shell en todos los ecosistemas

    Fuente ↗
  8. 8
    libpng

    Decodificador PNG en GD de PHP, Pillow de Python y System.Drawing de .NET – 5 CVE del lote de octubre de 2025: CVE-2025-64505/64506/64720/65018/66293, desbordamiento de heap

    Fuente ↗
  9. 9
    libjpeg-turbo

    Códec JPEG en GD de PHP, Pillow de Python y sharp de Node – CVE-2018-20330, desbordamiento de enteros con desbordamiento de heap en tjLoadImage mediante pitchheight de BMP

  10. 10
    Expat (libexpat)

    Analizador XML en xml.parsers.expat de Python, xml2js de Node y XML de PHP – CVE-2022-40674, uso de heap tras liberar; CVE-2023-52426 y otras; alimenta los canales RSS y Atom

🇺🇸 Grok10 puestos · 1 notas

La misma pregunta, respondida solo por Grok. La lista final de arriba combina todas las IA.

  1. 1
    OpenSSL

    El caballo de batalla criptográfico detrás de prácticamente cada conexión HTTPS; más de 110 CVE registradas y un flujo constante de problemas de memoria graves incluso en 2026.

  2. 2
    zlib

    Enlazada en casi todos los entornos de lenguaje y servidores web; unos cuantos desbordamientos críticos de heap (incluidos los de 2022 y 2026) siguen apareciendo pese a décadas de auditoría.

  3. 3
    libcurl

    La biblioteca cliente HTTP incrustada en PHP, Python, muchos complementos de Node y numerosos backends; flujo continuo de CVE de seguridad de memoria, algunas de gravedad alta en 2026.

  4. 4
    libxml2

    Núcleo de análisis XML de PHP, Python, muchas pilas de Java y Ruby; fuente persistente de problemas de uso tras liberar y de búferes que puntúan con frecuencia entre CVSS 7 y 9.

  5. 5
    Brotli (libbrotli)

    La biblioteca que obligó a reconstruir de urgencia PHP para Windows el 26 de octubre de 2026; una escritura crítica fuera de límites en el decodificador se extendió por Node, Python, .NET y PHP.

    Fuente ↗
  6. 6
    libpng

    Decodificador de imágenes presente en casi todos los entornos web que sirven o procesan PNG; el historial de desbordamientos de búfer sigue, con menor volumen que los analizadores anteriores.

    Fuente ↗
  7. 7
    SQLite

    Incrustada en prácticamente todos los entornos de lenguaje y en muchos frameworks web; los problemas de seguridad de memoria son más raros que en los analizadores de red, pero aparecen y tienen gran impacto cuando lo hacen.

  8. 8
    libjpeg / libjpeg-turbo

    Ruta de decodificación JPEG presente en casi todas las pilas web de imágenes; los desbordamientos críticos periódicos la mantienen en la lista de vigilancia.

  9. 9
    Expat (libexpat)

    Analizador XML ligero que sigue en muchas pilas en C y extensiones de lenguaje; su superficie es menor que la de libxml2, pero no es inmune a la corrupción de memoria.

  10. 10
    PCRE / PCRE2

    Motor de expresiones regulares incrustado en PHP, Nginx y muchos entornos de lenguaje; su lógica compleja de coincidencias ha producido varios problemas de memoria de gravedad alta a lo largo de los años.

Lo que notó Grok

OpenSSL, zlib y libcurl siguen entre los tres componentes de software más desplegados del planeta; su historial combinado de CVE demuestra que el código C de rendimiento crítico sigue siendo el principal riesgo residual, incluso dentro de los ecosistemas de lenguajes de «memoria segura».

🇺🇸 Gemini10 puestos · 1 notas

La misma pregunta, respondida solo por Gemini. La lista final de arriba combina todas las IA.

  1. 1
    OpenSSL (libcrypto / libssl)

    Protege el tráfico TLS de más del 80% de los servidores HTTPS, pero una sola comprobación de límites que faltaba en 2014 filtró la memoria privada de toda la web.

  2. 2
    zlib (libz)

    Enlazada en silencio en los entornos de Node.js, Python y PHP por igual, deja el 47,1% de las respuestas de servidores HTTP dependiendo de un modelo de memoria de 30 años.

  3. 3
    cURL (libcurl)

    Procesa miles de millones de llamadas automatizadas a API de backend cada día, y aun así un único desbordamiento de heap en SOCKS5 en 2023 expuso los microservicios modernos a un secuestro remoto.

    Fuente ↗
  4. 4
    libxml2

    Analiza documentos no confiables tras lxml de Python, Nokogiri de Ruby y DOM de PHP, acumulando más de 100 fallos históricos de seguridad de memoria.

  5. 5
    PCRE / PCRE2

    Ejecuta expresiones regulares en las reglas de reescritura de Nginx y en el motor preg de PHP, donde los patrones de recursión anidada provocan de forma rutinaria escrituras de heap fuera de límites.

  6. 6
    glibc (biblioteca C de GNU)

    Forma la capa raíz de llamadas al sistema de todo contenedor web estándar de Linux, donde un desbordamiento en el enlazador dinámico ld.so concedía root local sin autenticación.

  7. 7
    SQLite (libsqlite3)

    Incluye un motor SQL completo dentro de PDO de PHP, sqlite3 de Python y los entornos de Node.js, creando vías de corrupción de memoria mediante tablas virtuales manipuladas.

  8. 8
    ICU (libicu)

    Gestiona la ordenación Unicode en los módulos intl de Node.js y PHP con tablas de análisis tan intrincadas que los desbordamientos de enteros llevan a la ejecución de código arbitrario.

  9. 9
    Brotli (libbrotli)

    Incluida de forma nativa en PHP y Node.js para la decodificación rápida de flujos, donde una escritura fuera de límites de octubre de 2026 obligó a reconstruir urgentemente los binarios de varias versiones.

    Fuente ↗
  10. 10
    ImageMagick (libMagickCore)

    Encarga a decodificadores C heredados los avatares y los archivos multimedia que suben los usuarios, lo que provoca incidentes recurrentes de corrupción de memoria e inyección remota de comandos.

    Fuente ↗

Lo que notó Gemini

Los lenguajes de servidor de alto nivel dan seguridad de memoria al código de aplicación, pero delegar el análisis de bytes en bibliotecas base en C/C++ significa que más del 80% de las vulnerabilidades de ejecución remota de código ocurren por debajo de la frontera del entorno de lenguaje.

🇺🇸 Nova5 puestos · 2 notas

La misma pregunta, respondida solo por Nova. La lista final de arriba combina todas las IA.

  1. 1
    Zstandard (Zstd)

    Descomprime a 200-400 MB/s con una relación de 2,5-3,5x, pero su fallo de validación de flujos de 2026 elevó el riesgo de denegación de servicio.

    Fuente ↗
  2. 2
    Brotli

    El compresor de Google, de relación 4-5x, usado en PHP 8.2+; pero CVE-2026-111497 convirtió la descompresión en un vector de ejecución remota de código.

  3. 3
    Gzip (DEFLATE)

    El compresor original de la web, que aún maneja el 80% del tráfico HTTP con una relación de 1,5-2x, pero lastrado por fallos históricos de zlib.

    Fuente ↗
  4. 4
    LZ4

    El descompresor más rápido, con más de 500 MB/s, pero solo con una relación de 1,5-2x; su sencillez evita las vulnerabilidades complejas de Brotli y Zstd.

    Fuente ↗
  5. 5
    Zlib (gzip/deflate)

    Biblioteca base de Gzip, con lecturas fuera de búfer históricas (CVE-2022-37434), pero sigue siendo la apuesta más segura para los sistemas heredados.

Lo que notó Nova

La ausencia de CVE de LZ4 y sus 512 MB/s de descompresión lo convierten en la opción de alto rendimiento más segura, pero su relación de 1,6x limita el ahorro de ancho de banda.

Zstd ofrece el mejor equilibrio entre velocidad (321 MB/s) y relación (2,87x), pero su fallo de denegación de servicio de 2026 demuestra que incluso los algoritmos modernos no son inmunes a los ataques de casos límite.

🇨🇳 StepFun10 puestos · 1 notas

La misma pregunta, respondida solo por StepFun. La lista final de arriba combina todas las IA.

  1. 1
    OpenSSL (libssl / libcrypto)

    330 CVE registradas y un único aviso de enero de 2026 que publicó 12 de golpe: cada apretón de manos HTTPS de la web pasa por ella.

    Fuente ↗
  2. 2
    zlib (libz)

    19 CVE, y un desbordamiento de heap en inflate() que estuvo en la ruta por defecto de gzip HTTP hasta la versión 1.2.12.

  3. 3
    libcurl

    PHP, Python y Ruby la incluyen todos, y el desbordamiento de heap en SOCKS5 que le valió un 9,8 de NVD.

    Fuente ↗
  4. 4
    libxml2

    116 CVE, y un desbordamiento de enteros que se propagó a PHP y Swift a la vez.

    Fuente ↗
  5. 5
    PCRE2

    Las preg_* de PHP y los bloques location de nginx son expresiones regulares en C: 19 CVE solo en el producto PCRE2, 66 en toda la familia PCRE.

    Fuente ↗
  6. 6
    SQLite3

    87 CVE en el contador, y una página del mantenedor que sostiene que la mayoría no te afectan.

  7. 7
    Brotli (decodificador C de Google)

    La entrada más reciente de esta lista, y la única que recibió un fallo de ejecución remota de código en un decodificador incluido en Node.js, Bun, PHP y Python al mismo tiempo.

  8. 8
    libexpat

    70 CVE en el analizador XML en streaming que enlazan la biblioteca estándar de Python y una larga cola de servicios C++.

  9. 9
    libjpeg-turbo

    Cada avatar subido a la web pasa por un decodificador JPEG en C con 17 CVE a sus espaldas.

  10. 10
    glibc (biblioteca C de GNU)

    La base de cada proceso de PHP, Node.js, Python, Ruby y .NET en Linux: 168 CVE en un espejo y 13 en otro, para la misma consulta.

Lo que notó StepFun

curl es el caso más claro de desacuerdo en la medición: el proyecto cuenta 146 correcciones de seguridad en su historia y su autor afirma que solo se han publicado dos CVE de gravedad ALTA desde 2021, mientras que un analizador independiente (AISLE) encontró seis CVE adicionales que los sistemas de IA de frontera pasaron por alto por completo.

🇨🇳 Kimi10 puestos · 1 notas

La misma pregunta, respondida solo por Kimi. La lista final de arriba combina todas las IA.

  1. 1
    OpenSSL

    Una biblioteca C bajo casi el 90% del tráfico cifrado de la web, con un historial de avisos de CVE ininterrumpido desde 2002 hasta 2026.

  2. 2
    zlib

    Incluida en PHP, Node, Python y curl, e incluso enlazada dentro de OpenSSL; su peor fallo de inflate() obtuvo 9,8.

  3. 3
    libcurl

    El cliente HTTP detrás de la extensión curl de PHP arrastra otras cinco bibliotecas C a cada instalación, y sigue publicando sus propias CVE.

    Fuente ↗
  4. 4
    libxml2

    El analizador XML de PHP acumuló cinco CVE de corrupción de memoria solo en una actualización de 2025: usos tras liberar, confusión de tipos y un desbordamiento de pila.

  5. 5
    libexpat

    El analizador SAX dentro de Python y en innumerables herramientas corrigió 14 vulnerabilidades en una sola versión de junio de 2026.

  6. 6
    nghttp2

    La implementación C de referencia de HTTP/2, enlazada por curl y PHP, es la dueña de las clases de CVE Rapid Reset y de inundación con CONTINUATION.

    Fuente ↗
  7. 7
    PCRE2

    Cada llamada preg_* de PHP ejecuta este motor de expresiones regulares en C, cuyo compilador JIT convirtió patrones manipulados en lecturas fuera de límites con CVSS 9,1.

    Fuente ↗
  8. 8
    SQLite

    Dentro de PHP, Python y todos los navegadores; tan limpio que los CVE «críticos» presentados contra él en 2026 se desmintieron como basura generada por IA.

  9. 9
    Brotli (libbrotli)

    La biblioteca más joven de aquí, y ya es una ejecución remota de código sin autenticar en explotación: el patrón exacto de «descompresión de entrada» del que trata la historia de contexto.

  10. 10
    GnuTLS

    El TLS por defecto de la familia RHEL: una doble liberación en la verificación de certificados, descubierta por Project Zero, es su tipo de fallo característico.

Lo que notó Kimi

El propio recuento de CVE se degrada como medida: el NVD pasó a un enriquecimiento selectivo en medio de 44.509 divulgaciones en 2025 (un aumento del 263% en volumen desde 2020), y en 2026 CVE de SQLite fabricadas recibieron 9,8–10,0 antes de ser desmentidas.

🇨🇳 DeepSeek10 puestos

La misma pregunta, respondida solo por DeepSeek. La lista final de arriba combina todas las IA.

  1. 1
    OpenSSL 2026

    296 CVE, 40 de ellas con puntuación 9,0 o más y 27 en la banda de 7,0–8,9: ninguna otra biblioteca C compartida combina esta huella de despliegue con esta densidad de historial de corrupción de memoria remota.

  2. 2
    zlib 2026

    19 CVE desde 2002, 9 con exploits públicos y un desbordamiento de heap CVSS 9,8 en inflate: el descompresor detrás de gzip, PNG y numerosas pilas HTTP.

  3. 3
    libxml2 2026

    133 CVE registradas: un analizador XML con más fallos documentados de corrupción de memoria que la mayoría de los núcleos de sistemas operativos, cargado en silencio por los entornos de PHP, Python y Ruby.

  4. 4
    libcurl 2026

    El cliente HTTP universal: 18 CVE corregidas en una sola versión de junio de 2026, incluido un fallo de memoria de 25 años, y está incrustado en los entornos de PHP, Node.js y Python.

  5. 5
    glibc 2026

    162 CVE en glibc: la dependencia compartida más profunda que existe, con un desbordamiento de búfer en la pila dentro de ld.so accesible en programas setuid.

  6. 6
    libpng 2026

    Toda imagen PNG que pasa por un entorno web toca libpng; solo en 2026 llegaron un desbordamiento de búfer en heap y un uso tras liberar en el manejo de fragmentos.

    Fuente ↗
  7. 7
    libjpeg-turbo 2026

    17 CVE en una biblioteca que decodifica casi todos los JPEG de la web; un desbordamiento de búfer en heap de 2026 en el upsampling combinado muestra que la superficie de ataque de la decodificación de imágenes sigue activa.

    Fuente ↗
  8. 8
    PCRE2 2026

    El motor de expresiones regulares dentro de PHP y muchos servidores web; en 2026 produjo una escritura fuera de límites por desbordamiento de enteros y un fallo de corrupción de memoria JIT en pcre2_jit_match.

    Fuente ↗
  9. 9
    SQLite 2026

    La base de datos predeterminada de PHP y de los entornos móviles y web; una página FTS5 manipulada puede provocar una lectura fuera de límites y un desbordamiento de búfer en heap en el motor de texto completo.

  10. 10
    nghttp2 2026

    La pila C de HTTP/2 detrás de curl, Node.js y muchos proxies inversos; el manejo de tramas malformadas produjo en 2026 una denegación de servicio remota y una CVE de validación de estado.

    Fuente ↗
🇨🇳 Wenxin10 puestos

La misma pregunta, respondida solo por Wenxin. La lista final de arriba combina todas las IA.

  1. 1
    zlib

    Desplegada en el 99% de los servidores y entornos web como implementación base de DEFLATE, con más de 12 fallos de memoria documentados con CVSS 8,0 o más en 20 años de uso público

  2. 2
    Núcleo de ejecución de PHP (implementación en C)

    Impulsa el 70% de los sitios web del mundo en servidores web, con tres nuevos fallos de corrupción de memoria de ejecución remota sin autenticación con CVSS 9,0 o más publicados solo en octubre de 2026

  3. 3
    OpenSSL

    Biblioteca de terminación TLS usada por el 98% de los servidores web HTTPS, con un largo historial de fallos remotos graves de memoria, incluido el Heartbleed de 2014 (CWE-125, lectura fuera de límites)

  4. 4
    libc (glibc)

    Biblioteca estándar de C del sistema de la que dependen todos los entornos web de Linux, con fallos críticos como Ghost de 2016 (CVE-2015-0235), que permitió la ejecución remota de código sin autenticación

  5. 5
    libbrotli

    Biblioteca decodificadora de Brotli ya incluida en .NET, Node.js y el servidor Apache, con una prueba de concepto pública de ejecución remota de código (CVE-2026-111497) publicada en GitHub un día antes del 27 de octubre de 2026

    Fuente ↗
  6. 6
    libcurl

    Biblioteca de transferencia de URL incluida en casi todos los entornos del lado del servidor que hacen solicitudes HTTP salientes, con 27 fallos de corrupción de memoria documentados con CVSS 8,0 o más a lo largo de su historia

    Fuente ↗
  7. 7
    SQLite

    Biblioteca de base de datos embebida, preinstalada en PHP, Python, Node.js y Ruby, con un historial constante de fallos de memoria remotos al procesar entrada SQL no confiable

  8. 8
    libxml2

    Biblioteca de análisis XML usada por casi todos los frameworks web del lado del servidor, responsable de decenas de fallos históricos de XXE remota y de desbordamientos de búfer al procesar XML no confiable

  9. 9
    zstd (libzstd)

    Biblioteca de compresión de nueva generación, ahora incluida en Nginx 2026, Node.js 22+ y entornos web modernos, con solo 3 CVE críticas documentadas hasta la fecha por su base de código más joven

    Fuente ↗
  10. 10
    libpng

    Biblioteca de decodificación de imágenes PNG incluida en todos los lenguajes de backend que manejan imágenes subidas por usuarios, con 18 desbordamientos de búfer críticos documentados públicamente desde su versión inicial de 1995

    Fuente ↗
🇨🇳 Qwen10 puestos · 1 notas

La misma pregunta, respondida solo por Qwen. La lista final de arriba combina todas las IA.

  1. 1
    zlib

    El pulmón invisible de internet: comprime el 90% del tráfico web y, sin hacer ruido, deja caer CVE de corrupción de memoria cada pocos años.

    Fuente ↗
  2. 2
    OpenSSL (libssl)

    La base criptográfica que protege la web, pero su enorme base de código en C es un objetivo permanente de corrupciones catastróficas de heap como Heartbleed.

    Fuente ↗
  3. 3
    libcurl

    El motor universal de transferencia de datos para entornos de backend, recientemente sorprendido manejando estados de dependencia de flujos HTTP/2 con lógica peligrosa de uso tras liberar.

    Fuente ↗
  4. 4
    libxml2

    El analizador que procesa cargas SOAP y XML no confiables, y que desencadenó en octubre de 2026 el desbordamiento de búfer en heap PHP2Shell en los wrappers de streams.

    Fuente ↗
  5. 5
    libuv

    El latido asíncrono de Node.js, que gestiona pools de hilos y E/S de archivos, y que a veces tropieza con condiciones de carrera en la gestión de memoria de nivel C.

    Fuente ↗
  6. 6
    libsqlite3

    El motor de base de datos más desplegado del mundo, que ejecuta en silencio máquinas de estado SQL complejas dentro de frameworks web sin límites seguros para la memoria.

    Fuente ↗
  7. 7
    libpng

    El decodificador de imágenes que confía implícitamente en las cabeceras de píxeles, y que en el pasado permitió corrupciones masivas de heap con una sola subida manipulada.

    Fuente ↗
  8. 8
    libjpeg

    Al traducir transformadas de coseno discreto en búferes de memoria, esta biblioteca ha soportado décadas de desbordamientos de enteros en cabeceras de imagen no confiables.

    Fuente ↗
  9. 9
    libicu

    Maneja la inmensa complejidad de la ordenación Unicode en C, y a veces deja al descubierto desbordamientos de búfer profundos al analizar cadenas internacionales malformadas.

    Fuente ↗
  10. 10
    PCRE (expresiones regulares compatibles con Perl)

    Evaluar patrones de expresiones regulares recursivas en C invita a un retroceso catastrófico y a desbordamientos de pila cuando se alimenta con cadenas de búsqueda manipuladas de forma maliciosa.

    Fuente ↗

Lo que notó Qwen

Las emergencias de parches de PHP de octubre de 2026 muestran que los lenguajes con memoria segura como PHP siguen delegando el análisis de bytes de red no confiables en bibliotecas C nativas no gestionadas como Brotli y libxml2, lo que crea una fricción sistémica.