Поки світ оговтується від падіння сайтів на PHP, розробники Node.js закликають негайно оновити системи через нові критичні вразливості, що загрожують мільйонам ресурсів.
Розробники Node.js випустили термінові патчі для 10 вразливостей і закликають до негайного оновлення систем. Платформа живить понад 6 мільйонів сайтів, серед яких такі гіганти, як Netflix, PayPal, Walmart, LinkedIn, Uber та NASA.
Поки світ оговтується від падіння сайтів на PHP, розробники Node.js закликають негайно оновити системи через нові критичні вразливості, що загрожують мільйонам ресурсів.
Розробники Node.js випустили термінові патчі для 10 вразливостей і закликають до негайного оновлення систем. Платформа живить понад 6 мільйонів сайтів, серед яких такі гіганти, як Netflix, PayPal, Walmart, LinkedIn, Uber та NASA.
Найнебезпечніша з виявлених вразливостей відстежується під ідентифікатором CVE-2026-111497, повідомляє Cybernews. Вона стосується декодера Brotli — популярного алгоритму стиснення даних, який використовують браузери та сервери для прискорення завантаження HTML, CSS, JavaScript і API-відповідей.
Експлуатація цієї вразливості дозволяє зловмисникам здійснювати віддалене виконання коду (RCE), що дає змогу запускати шкідливі програми на сервері й отримувати доступ до баз даних, ключів API та приватних даних користувачів. Крім того, це загрожує відмовою в обслуговуванні (DoS), спроможною спричинити масові збої в роботі сайтів, зупинку стримінгового відео, блокування облікових записів або затримки в сервісах на зразок таксі.
«Node.js забезпечує роботу бекенду багатьох великих платформ, які зазвичай зберігають облікові дані баз даних і ключі API. Коли нападник отримує можливість виконувати код, він дістає доступ до всього, до чого має доступ застосунок», — застерігає директор з інформаційної безпеки Keeper Security Шейн Барні.
Хоча фактів реальних атак у мережі поки не зафіксовано, фахівці з кібербезпеки вже опублікували концепти (PoC) для демонстрації проблеми. Дослідники з фірми Imperva успішно продемонстрували повне віддалене виконання коду в середовищі Node.js 24.22.0 (Linux arm64), назвавши цей випадок Node2Shell (за аналогією з PHP2Shell).
У хмарній платформі Vercel зауважили, що загроза виникає тоді, коли застосунок або його бібліотеки розпаковують дані Brotli, підконтрольні зловмиснику.
Цей інцидент стався лише через кілька днів після екстрених патчів для PHP (який живить близько 70% сайтів з відомими серверними мовами). Через сплеск атак із використанням штучного інтелекту спільнота кібербезпеки вже охрестила цей період «Чорним жовтнем».
«Мільйони незалежних сервісів залежать від порівняно невеликого набору мов, середовищ виконання та бібліотек. Коли у фундаментальному компоненті знаходять критичну вразливість, під загрозою одночасно опиняються мільйони сайтів», — зазначає Сай Молідж, старший менеджер з аналізу загроз у Forescout.
Експерти порівнюють ситуацію з масштабною кризою бібліотеки libwebp у 2023 році, яка торкнулася Chrome, Telegram, Edge та багатьох інших застосунків.
Оновлення безпеки, випущені 21 жовтня, охоплюють гілки Node.js 26.x, 24.x та 22.x. Фахівці закликають негайно:
