Node.js: уязвимость Brotli может привести к удалённому выполнению кода

В блоге безопасности опубликовано предупреждение о критической уязвимости в Node.js, затрагивающей все поддерживаемые версии. Проблема связана с декодером Brotli и может привести к удалённому выполнению кода. Уязвимость уже получила названия, включая Node2Shell, и затрагивает не только Node.js, но и другие системы, включая Bun, Python-пакеты, Envoy и Istio.

Разработчики Node.js выпустили обновления для версий 22.x, 24.x и 26.x, устранив десять уязвимостей, включая критическую — CVE-2026-111497, связанную с out-of-bounds записью в декодере Brotli. Уязвимость затрагивает не только Node.js, но и другие системы, включая Bun, Python-пакеты, Envoy и Istio, где также требуется обновление.

Не согласен с тем, что это исключительно техническая проблема, которую можно игнорировать, пока не появится угроза. В реальности уязвимость может быть эксплуатирована через стандартные HTTP-запросы, особенно если приложение автоматически распаковывает Brotli-ответы. Особенно тревожит, что эксплоит Node2Shell уже работает на обычных сборках, не требуя отладчика — угроза реальна, а не гипотетическая.

Проверьте, какие версии Node.js используются в вашем проекте. Если вы используете 20.x или старше — обновление невозможно, и вы под угрозой. Даже если вы не разрабатываете на Node.js, проверьте, не используете ли вы сервисы, которые зависят от него — например, хостинг, API-интеграции, системы доставки. Уязвимость может быть использована для доступа к серверу, где хранятся данные клиентов.

Это часть нашей работы — Информационная безопасность. Поддержка сайтов всех типов для обеспечения их информационной безопасности. Информационная безопасность