Node.js: zece vulnerabilități corectate, patru de risc ridicat

Pe 21 octombrie 2026, CERT.LV, CSIRT-ul național al Letoniei, a semnalat versiunile de securitate Node.js din octombrie: 10 vulnerabilități ale runtime-ului JavaScript corectate în liniile 22.x, 24.x și 26.x, dintre care patru de gravitate ridicată. Au scris despre asta și heise Security și The Hacker News. Versiunile de instalat sunt 22.23.4, 24.22.1 și 26.12.1 sau mai noi.

Dintre sursele disponibile, doar avizul CERT.LV oferă detaliile: pentru heise Security și The Hacker News redăm ce indică titlurile. Niciuna dintre sursele disponibile nu asociază fiecare CVE cu componenta afectată.

Ce s-a întâmplat

Potrivit CERT.LV, cei care întrețin Node.js au publicat actualizări care corectează mai multe vulnerabilități ale runtime-ului. În funcție de vulnerabilitate și de configurația aplicației, un atacator ar putea:

• ocoli controalele de securitate și restricțiile de acces;
• provoca o prelucrare greșită a datelor;
• executa cod arbitrar la distanță.

The Hacker News pune în centru o eroare în decodorul Brotli care, potrivit publicației, ar putea permite execuția de cod la distanță în toate versiunile suportate: dintre sursele disponibile, detaliul despre Brotli apare doar la The Hacker News. heise Security vorbește despre vulnerabilități cu risc ridicat și face distincția între cele din codul Node.js și cele „moștenite”.

Detalii tehnice

Cele zece CVE enumerate de CERT.LV, după gravitate:

Gravitate	CVE
Ridicată (4)	CVE-2026-105482, CVE-2026-105483, CVE-2026-106069, CVE-2026-111497
Medie (3)	CVE-2026-105481, CVE-2026-106072, CVE-2026-106074
Scăzută (3)	CVE-2026-106070, CVE-2026-106071, CVE-2026-106073

Versiuni corectate, potrivit CERT.LV:

• Node.js 22.23.4 și mai noi (linia 22.x);
• Node.js 24.22.1 și mai noi (linia 24.x);
• Node.js 26.12.1 și mai noi (linia 26.x).

Sursele nu indică scorurile CVSS și nici care dintre cele patru CVE de gravitate ridicată privește decodorul Brotli. În Node.js, decompresia Brotli este oferită de modulul zlib (de exemplu zlib.brotliDecompress() și zlib.createBrotliDecompress()) și este folosită de aplicații și biblioteci care gestionează conținut cu codificarea br. Condițiile exacte de exploatare trebuie verificate în buletinul oficial Node.js despre versiunile de securitate din octombrie 2026, la care trimite CERT.LV.

CERT.LV amintește și că versiunile ieșite din suport (End-of-Life) pot fi expuse, pentru că nu mai primesc actualizări de securitate regulate. Avizul enumeră doar liniile 22.x, 24.x și 26.x.

MITRE ATT&CK (clasificarea noastră, sursele nu o indică): T1190 (Exploit Public-Facing Application) pentru execuția de cod în servicii expuse bazate pe Node.js.

Certificatele eMudhra: un punct de verificat

Potrivit unor semnalări, versiunea blochează și certificatele CA-urilor intermediare eMudhra, însă textele surselor disponibile nu descriu acest lucru. Node.js include propria listă de autorități de certificare rădăcină, separată de cea a sistemului de operare: dacă aplicațiile tale Node.js deschid conexiuni TLS spre exterior, verifică în notele versiunii dacă lista inclusă a fost actualizată.

Impactul pentru companiile europene și italiene

Node.js stă la baza multor backend-uri web, API-uri, microservicii, funcții serverless, instrumente de build și pipeline-uri CI/CD și este inclus în numeroase aplicații. Adesea coexistă mai multe copii ale runtime-ului: pachetele distribuției, imaginile de containere, managerele de versiuni de pe calculatoarele dezvoltatorilor, aplicațiile care își aduc propriul Node.js. Fiecare trebuie actualizată separat, iar inventarul este de obicei pasul cel mai lung.

Pentru entitățile NIS2, gestionarea vulnerabilităților face parte din măsurile cerute de articolul 21 al directivei: o versiune cu patru vulnerabilități de gravitate ridicată și o posibilă execuție de cod la distanță trebuie urmărită, cu priorități și termene de remediere documentate, începând cu serviciile expuse la Internet.

Ce să faci acum

1. Fă inventarul instalărilor Node.js: node --version pe servere și pe stațiile de dezvoltare, imaginile de bază ale containerelor (de exemplu node:22, node:24, node:26), pipeline-urile CI, funcțiile serverless, aplicațiile care includ runtime-ul.
2. Actualizează la 22.23.4, 24.22.1 sau 26.12.1 (ori mai noi), în funcție de linia folosită.
3. Reconstruiește și redistribuie imaginile de containere: un runtime încorporat nu se actualizează singur. Verifică și că tag-urile folosite indică într-adevăr versiunile corectate.
4. Dă prioritate serviciilor expuse care primesc date din exterior, mai ales celor care decomprimă conținut Brotli.
5. Planifică migrarea instalărilor de pe liniile ieșite din suport, care nu mai primesc actualizări regulate.
6. Consultă buletinul oficial Node.js pentru corespondența dintre CVE și componente și pentru eventuale măsuri temporare de atenuare, înainte de a decide excepții sau amânări.

Cum ajută ARXDOME

ARX Shield arată în portal vulnerabilitățile deschise pe mașină și pe pachet, cu cele deja exploatate evidențiate: te ajută să găsești mașinile monitorizate cu versiuni Node.js de actualizat. ARX Expose semnalează din exterior vulnerabilitățile cunoscute ale serviciilor publice și produsele recunoscute.

Ultima actualizare: 22 octombrie 2026