Kritisk sårbarhet i Node.js-miljö identifierad som Node2Shell

Picus Security har dokumenterat en kritisk sårbarhet, benämnd Node2Shell (CVE-2026-111497), som påverkar Node.js-miljöer. Säkerhetshålet, som har tilldelats en CVSS-poäng på 9,2, härrör från ett fel i hanteringen av Brotli-komprimerad data, vilket kan tillåta angripare att köra godtycklig kod på sårbara system.

Roten till problemet är en brist i Brotli-dekoderns förmåga att hantera ogiltiga blockväxlingar. När en angripare skickar en manipulerad dataström kan dekodern fortsätta bearbeta data från ett korrupt tillstånd, vilket leder till en så kallad "out-of-bounds write". Detta innebär att applikationen kan tvingas utföra operationer utanför avsedda minnesgränser, vilket öppnar upp för fjärrstyrning av processen.

Node.js har släppt uppdateringar för versionerna 22.23.4, 24.22.1 och 26.12.1 för att åtgärda felet. Äldre versioner som nått sitt officiella slutdatum (EOL), såsom 20.x och 25.x, får inga säkerhetsrättningar. Även Bun-miljöer upp till version 1.4.3 är sårbara. Picus Security betonar att även Linux-distributioner som länkar mot systemets egna Brotli-bibliotek kräver uppdateringar på pakethanteringsnivå.

Företaget har integrerat simuleringsverktyg för Node2Shell-attacker i sitt hotbibliotek. Organisationer uppmanas att granska sina system och säkerställa att patching har genomförts för att förhindra risker som stöld av molnlegitimationer och obehörig åtkomst.