Node.js-ympäristöstä löytyi vakava Node2Shell-haavoittuvuus

Picus Security on analysoinut uuden kriittisen haavoittuvuuden, joka tunnetaan nimellä Node2Shell (CVE-2026-111497). Haavoittuvuus liittyy Node.js-ympäristön käyttämään Brotli-pakkauskirjastoon, jossa oleva muistivirhe mahdollistaa hyökkääjälle pääsyn palvelimen hallintaan. CVSS-luokituksella 9.2 arvioitu aukko voi johtaa etäkoodin suoritukseen, palvelunestohyökkäyksiin tai arkaluontoisten tietojen vuotamiseen.

Haavoittuvuus johtuu Brotli-dekooderin puutteellisesta syötteiden käsittelystä. Virheellisesti muotoiltu pakattu tietovirta saa dekooderin kirjoittamaan muistialueen rajojen yli, mikä mahdollistaa sovelluksen hallinnan kaappaamisen. Koska Node.js käyttää omaa koodiaan pakkausten purkamiseen, hyökkäys on toteutettavissa aina, kun sovellus käsittelee hallitsematonta syötedataa.

Node.js on julkaissut korjauspäivitykset versioihin 22.23.4, 24.22.1 ja 26.12.1. Vanhemmat, elinkaarensa päässä olevat versiot 20.x ja 25.x jäävät ilman virallisia korjauksia. Lisäksi haavoittuvuus vaikuttaa Bun-ajoympäristöön versiossa 1.4.3 ja sitä vanhemmissa. Picus Security suosittelee järjestelmien välitöntä päivittämistä ja toteaa, että myös Linux-jakeluiden omat järjestelmäkirjastot on päivitettävä, mikäli Node.js käyttää niitä.

Yhtiö on lisännyt Node2Shell-hyökkäyksiä simuloivan testin uhkakirjastoonsa, jotta organisaatiot voivat varmistaa puolustustensa kattavuuden. Päivitysten puute jättää järjestelmät alttiiksi muun muassa pilvipalveluiden tunnusten varkauksille ja haittaohjelmien levitykselle.