Следвай Kaldata в Google: Слушай статията0:00 / 10:471×

Докато светът все още се възстановява от сривовете на уебсайтове, настъпили преди пускането на критични кръпки за PHP, Node.js призова за актуализации, за да се отстранят уязвимости, които биха могли да сринат още милиони уебсайтове. В края на миналата седмица Node.js пусна кръпки за 10 уязвимости в сигурността, които биха могли да изложат на риск приложенията, базирани на Node.js, и призовава всички да актуализират системите си.

Над 6 милиона уебсайта работят с Node.js, като милиони хора разчитат на услуги, изградени върху тази платформа. Пробив в сигурността на толкова широко използван инструмент би могъл да предизвика последици, които да се разпространят далеч отвъд рамките на един-единствен сайт. Гиганти като Netflix, PayPal, Walmart, LinkedIn, Uber и дори НАСА разчитат на Node.js за части от своите онлайн услуги. В Netflix Node.js помага за свързването на устройствата на потребителите с бекенд услугите, които поддържат работата на платформата.

Нападателите могат да предизвикат срив при възпроизвеждането на видео

Най-сериозната уязвимост, идентифицирана от Node.js е регистрирана под номер CVE-2026-111497. Според екипа на проекта Node.js, експлоатацията ѝ може да доведе до потенциално отдалечено изпълнение на код или да предизвика умишлено прекъсване на услугата (DоS). Уязвимостта засяга конкретно декодера на Brotli. Последният е формат за компресиране, който намалява размера на данните, което ускорява зареждането на уебсайтовете. Браузърите и сървърите го използват, за да компресират файлове като HTML, JavaScript, CSS, JSON и отговори от API, преди да ги изпратят по интернет.

Ако уязвимостта бъде действително експлоатирана в рамките на голяма потребителска платформа, това би могло да има много забележими последствия като спиране на уебсайтове, повреждане на страници, блокиране на достъпа на потребителите до техните акаунти, изчезване на новинарски емисии или закъснения на превозите. Успешна атака срещу стрийминг платформа, експлоатираща CVE-2026-111497 би могла да направи нещо повече от това да съсипе филмовата ви вечер. Тя може да доведе до сривове или безкрайно буфериране на видеото.

А ако хакерите се възползват от това, за да изпълнят свой собствен код на сървър от бекенда, щетите могат да бъдат много по-големи. По този начин те биха могли да получат достъп до потребителски данни, да злоупотребят с вътрешни системи или да нарушат функционирането на системата за таксуване, персонализираните препоръки и доставката на видеосъдържание. Успешна атака срещу подходящата бекенд услуга би могла да изложи на риск чувствителни данни, да наруши основната функционалност или да позволи на атакуващите да откраднат контрола върху доверени вътрешни действия зад кулисите.

„Node.js управлява бекенда на много големи платформи, а тези приложения обикновено съдържат данни за достъп до бази данни, API ключове и токени. Когато хакерът успее да изпълни код, той получава достъп до всичко, до което има достъп приложението. Именно тук потребителите могат да бъдат засегнати – чрез личните данни, съхранявани в свързани системи, или чрез достъпа до свързани услуги.“

каза Шейн Барни, главен информационен директор по сигурността (CISO) в Keeper Security

Това не означава, че всеки уебсайт, работещ с Node.js, изведнъж е изложен на риск от хакерска атака. Истинската опасност се крие в конкретни функции, които хакерите биха могли да експлоатират, особено тези, които са изложени на интернет.

Използване на уязвимостта в Node.js, демонстрирано от изследователи в реални условия

Към момента не са отбелязани атаки в реални условия, но общността по сигурността вече е споделила „доказателство за концепцията“ (PoC) за потенциални експлойти. Публично хранилище в GitHub, свързано с CVE-2026-111497 показва, че изследователите по сигурност вече са публикували PoC код, за да демонстрират на практика уязвимостта в декодера на Brotli в Node.js.

Потребител в X с псевдоним m411k е открил версия на уязвимостта CVE-2026-111497 в Node.js, която може да доведе до сривове или прекъсвания на услугата. Той сподели, че все още работи по демонстрирането на отдалечено изпълнение на код, което би позволило на атакуващ да изпълни злонамерен код на уязвима система.

Since everyone is freaking out, here is a DoS variant i've found (i being the clanker, he's still working on the rce tho) of today's node CVE-2026-111497 oobw->rce, please update if you fetch() e.g an image from an external server server-side, here is the PoC and link below: https://t.co/667uoboLa0 pic.twitter.com/amjh05FngR

— m411k (@m411k_) October 22, 2026

Компанията за киберсигурност Imperva също публикува PoC, което нарече Node2Shell. „Червеният екип“ на Imperva успя да постигне пълно отдалечено изпълнение на код в приложения, използвайки официалния образ на Node.js 24.22.0 за Linux arm64. Imperva отбелязва, че идеята следва същата схема като при PHP2Shell. Критични уязвимости, свързани с безопасността на паметта се крият в среда за изпълнение от ниско ниво под обичайните уеб приложения. Изкуственият интелект ускорява както откриването, така и експлоатирането на такива уязвимости.

Идва ли краят на интернет?

Предупреждението за Node.js идва само няколко дни, след като администраторите на уебсайтове на WordPress, онлайн магазини и бизнес приложения бяха призовани да се подготвят за спешни актуализации по сигурността на PHP след откриването на две критични уязвимости.

PHP захранва около 70% от уебсайтовете, които използват известен език за програмиране от страна на сървъра, което превръща пропуските в технологията в потенциална заплаха за голяма част от интернет. Организациите са изправени пред вълна от опити за кибератаки, задвижвани от изкуствен интелект, които някои в интернет общността вече наричат „Черен октомври“.

„Милиони несвързани помежду си услуги зависят от сравнително малък набор от езици, изпълнителни среди, библиотеки и инфраструктурни компоненти. Когато основен компонент има уязвимост, която може да бъде експлоатирана от разстояние, много независими уебсайтове могат да станат уязвими едновременно.“

казва Сай Молиге, старши мениджър по откриване на заплахи във Forescout

Според Молиге откритите уязвимости представляват значимо събитие в областта на сигурността. Той подчерта, че организациите трябва да ускорят прилагането на кръпки, за да не изостават от кибератаките.

„Днешните данни сочат, че има голяма вълна от опити за експлоатация, но милионите опити за атаки не означават милиони компрометирани уебсайтове.“

Възможно ли е Node.js да се сблъска с още една криза в сигурността, подобна на тази с WebP, която срина Chrome?

Новооткритата уязвимост в декодера на Brotli следва същия модел като пропуските, стоящи зад „WebP-кражбата“ през 2023 година, която доведе до мащабни кампании за разпространение на зловреден софтуер. Критичната уязвимост в libwebp – широко използвана библиотека, която позволява на софтуера да показва изображения във формат WebP първоначално беше докладвана като уязвимост в Chrome.

Оказа се обаче, че проблемът засяга много повече от един браузър, тъй като същата библиотека е вградена в браузъри, приложения за съобщения, офисен софтуер, десктоп приложения и системи за обработка на изображения на сървъри. Сред засегнатите бяха Chrome, Microsoft Edge, Mozilla и Telegram. Нападателите можеха да се възползват от уязвимостта, като подмамят някого да разгледа злонамерено изображение или да посети специално създадена уеб страница. В уязвимия софтуер това можеше да повреди паметта и потенциално да позволи на нападателите да изпълнят свой собствен код.

Google потвърди, че хакерите са експлоатирали уязвимостта в реални условия, а Агенцията за киберсигурност и сигурност на инфраструктурата на САЩ (CISA) я добави към списъка си с известни експлоатирани уязвимости.

Настоятелно се препоръчват актуализации на Node.js

Тъй като това е единственият начин за осигуряване на сигурността на приложенията, общността за киберсигурност настоятелно призовава за актуализиране на Node.js. Актуализациите за сигурност, пуснати на 21 октомври засягат три версии (26.x, 24.x и 22.x) на Node.js.

„Важно е да се отбележи, че версиите с изтекъл срок на поддръжка винаги са засегнати при пускането на актуализация за сигурност. За да гарантирате сигурността на системата си, моля, използвайте актуална версия, както е посочено в нашия график за пускане на версии.“

пишат разработчиците на Node.js в препоръка

Администраторите трябва да актуализират до версията с поправките и да рестартират засегнатите услуги. След това трябва да проверят дали защитените връзки, DNS търсенията, обработката на компресирани данни и ограниченията за достъп до файлове работят както се очаква.