CISA-ն վտանգավոր խոցելիությունը ներառել է շահագործվող ցանկում
2026 թվականի հոկտեմբերի 27-ին ԱՄՆ-ի Կիբերանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունը (Cybersecurity News) Node2Shell անունով հայտնի CVE-2026-111497 կրիտիկական խոցելիությունը պաշտոնապես ավելացրել է ակտիվորեն շահագործվող վտանգների իր շտեմարանում: Խոցելիությունը հայտնաբերվել է Google-ի Brotli սեղմման գրադարանում և հնարավորություն է տալիս չհավաստագրված հեռահար հարձակվողներին իրականացնել կամայական կոդի կատարում:
Google-ի գնահատմամբ խոցելիությունը ստացել է 9.2 կրիտիկական միավոր CVSS 4.0 սանդղակով (Cybersecurity News): Անվտանգության մասնագետները նշում են, որ հարձակվողները կարող են հատուկ ձևավորված Brotli հոսքերի միջոցով առաջացնել հիշողության կոռուպցիա, տվյալների արտահոսք կամ հավելվածների վթարային անջատում Node.js սերվերներում:
Տեխնիկական մեխանիզմը և բլոկների փոխարկման սխալը
Խոցելիության հիմքում ընկած է Brotli վերծանչի օժանդակ ֆունկցիայում առկա վերադարձվող արժեքի ստուգման բացթողումը: Երբ սեղմված հոսքում հայտնվում է անվավեր բլոկի փոխարկման հրաման, վերծանիչը սխալմամբ վերադարձնում է պարզ ստուգման արդյունք, որը նույնական է մուտքային տվյալների պարզ սպառման իրավիճակին:
Այս անհամապատասխանության պատճառով ներքին ութբայթանոց բուֆերում չմշակված բայթերը կուտակվում և դուրս են գալիս սահմաններից: Քանի որ գրման գործողությունն օգտագործում է ստորագրված 32-բիտային շեղում, հարձակվողը կարող է տվյալներ գրել հիշողության կամայական հասցեներում՝ ձեռք բերելով համակարգի նկատմամբ վերահսկողություն:
Տարածվածություն և հարձակման ուղիներ
Խոցելիությունն ազդում է Node.js 22.x, 24.x և 26.x տարբերակների, ինչպես նաև աջակցությունը կորցրած 20.x, 23.x ու 25.x հին գծերի վրա, որոնք թարմացումներ չեն ստանա: Շտկված տարբերակներն են Node.js 22.23.4, 24.22.1 և 26.12.1 թողարկումները: Բացի այդ, խոցելի են Bun-ի որոշ նախորդ տարբերակներ, Python-ի Brotli փաթեթները, Envoy-ը և Linux-ի տարբեր բաշխումներ:
Վտանգի տակ են հայտնվում բոլոր այն սերվերները և հավելվածները, որոնք ավտոմատ կերպով ապասեղմում են մուտքային կամ ելքային Brotli տվյալները՝ ներառյալ Express 5 և Koa վեբ շրջանակները, ինչպես նաև ներկառուցված fetch ֆունկցիաները:
Ակտիվ սկանավորումներ և շահագործման փորձեր
Անվտանգության համակարգերը 2026 թվականի հոկտեմբերի 26-ին արձանագրել են առաջին ավտոմատացված սկանավորումները, որոնց հաջորդել են իրական հարձակման փորձերը չարամիտ հասցեներից: Վերլուծաբանները նշում են, որ հարձակման անհաջող փորձերը հաճախ հանգեցնում են աշխատանքային պրոցեսների վթարի, ինչը կարող է հանգեցնել հիշողության դամպերի առաջացման և գաղտնի տվյալների վտանգման:
Անհապաղ միջոցառումներ և կարգավորման ուղեցույցներ
Մասնագետները հորդորում են անհապաղ թարմացնել ծրագրային ապահովումը, վերակառուցել կոնտեյներային կերպարները և ստուգել կախվածությունները: Քանի որ որոշ մշակումներ կարող են պարունակել շտկումներ առանց տարբերակի տողի փոփոխության, անհրաժեշտ է ուշադիր հետևել պաշտոնական թողարկման համարներին մինչև նոր հարձակման ալիքները կասեցնելը: