CISA: Node2Shell вече се експлоатира, срок до 10 ноември

Американската агенция за киберсигурност CISA потвърди, че критичната уязвимост в Brotli декодера, позната като Node2Shell, вече се експлоатира в реални атаки. На 27 октомври 2026 г. агенцията добави CVE-2026-111497 в каталога си с известни експлоатирани уязвимости (KEV) и даде на федералните цивилни агенции срок до 10 ноември да я отстранят — двуседмичният прозорец, който изисква обвързващата директива BOD 26-04. Новината е потвърдена от BleepingComputer.

Какво точно е счупено

Проблемът е out-of-bounds write в декодера на Brotli — алгоритъма за компресия на Google, който днес е навсякъде в HTTP трафика. Според официалния бюлетин на Node.js декодерът третира невалидно превключване на Brotli блок като временна липса на входни данни, вместо като постоянна грешка във формата. В резултат streaming декодерът продължава да налива байтове в един вътрешен 8-байтов буфер и прегазва паметта на процеса.

Формулировката на CISA е по-пряма: неавтентикиран отдалечен атакуващ може „да повреди съседна памет на декодера, да разкрие чувствително съдържание на паметта, да предизвика отказ на услугата или потенциално да изпълни произволен код“ чрез специално подготвен Brotli поток.

Google, в ролята си на CNA, дава на дупката CVSSv4 оценка 9,2 (критична), докато самият проект Node.js я класифицира като „high“. Уязвими са Brotli версии от 1.0.3 до 1.0.9, както и 1.1.0 и 1.2.0 — тоест практически всичко в употреба.

Кои версии и кои продукти

Node.js поправи проблема на 21 октомври 2026 г. в три линии наведнъж:

22.x → 22.23.4
24.x → 24.22.1
26.x → 26.12.1

Уязвимостта е открита в Node.js, но дупката е в самата библиотека на Google, затова списъкът е доста по-дълъг: Python пакети, Bun, Envoy, Istio, PAN-OS на Palo Alto Networks и VMware Cloud Foundation/vSphere Foundation. За VMware SDDC Manager 9.1.1 оценката е 9,8, докато за 9.0.x, 9.1.0 и 5.2.x пада до 7,5. Microsoft пусна извънредни кръпки за .NET през изминалия уикенд с предупреждение за риск от повишаване на права.

Любопитна подробност: уязвимостта е докладвана от екипа OpenAI Codex Security — Khai Tran и Sylvie Mayer. Това е вторият подобен случай за седмица, след като 41 от 167-те дупки във Firefox 159 също дойдоха от AI агента Codex.

Какво показват honeypot-ите

Атаките засега изглеждат по-скоро проби, отколкото масова кампания. ELLIO е засякла злонамерена заявка срещу Node.js 24.22.0 още на 26 октомври — около 23 MB Brotli-компресирано тяло на заявката, сглобено срещу точно един конкретен бинарен файл за x86-64. Финалната фаза, която атакуващият е написал сам, обаче не е дала shell в нито един от 50-те теста на ELLIO срещу уязвима инстанция. Самата фирма е постигнала работещо изпълнение на код независимо, срещу четири различни конфигурации.

Previdian пък е записала един опит на 27 октомври от американски IP адрес и го оценява като „потвърден“, с уточнението, че потвърдена е експлоатацията, не успехът ѝ.

Не е единственото тази седмица

Node2Shell не е сам в календара на администраторите. The Hacker News документира как ShinyHunters са експлоатирали Oracle PeopleSoft — групата, следена като UNC6240, е използвала CVE-2026-35273 (CVSS 9,8) като zero-day между 27 май и 9 юни 2026 г., преди Oracle да пусне извънредна кръпка на 10 юни. Под един идентификатор се крият три свързани дупки: SSRF в Integration Gateway, заобикаляне на доверието през loopback адреса 127.0.0.1 и изпълнение на код. През септември е документирана втора, по-голяма вълна с десетки компрометирани системи, в която атакуващите заобикалят WAF правилата с URL кодиране от типа /%50SEMHUB/.

Отделно Tailscale запуши четири дупки в SSH функционалността си с бюлетини от TS-2026-014 до TS-2026-017, като поправката е в версия 1.104.4. Най-сериозната е race condition: процесът проверява пътя до Unix сокет, но после работи като root, което позволява подмяна на пътя след проверката — включително към Docker сокета. Докладът „Tailworm“ на Erica Windisch от Cyberdione Labs е стигнал до Tailscale на 24 октомври, около два часа преди публичното оповестяване. Временната мярка е TS_SSH_DISABLE_FORWARDING=1 в средата на услугата tailscaled.

Защо има значение

Brotli дупката е от неудобния тип: кодът не е ваш, не го виждате в зависимостите си като отделен пакет и често пътува вътре в runtime или в компилиран бинарен файл. Затова инвентаризацията тук е по-трудната част от кръпката — трябва да намерите всяко място, където приемате компресирани данни отвън.

Срокът 10 ноември важи формално само за американските федерални агенции, които напоследък получават подобни директиви почти ежеседмично. Но каталогът KEV отдавна се ползва и извън САЩ като приоритетен списък — попадането в него означава, че някой вече стреля по тази дупка. Две седмици са разумен срок и за всички останали.