Specjaliści ds. cyberbezpieczeństwa zidentyfikowali krytyczną lukę w popularnym środowisku uruchomieniowym Node.js, która umożliwia zdalne wykonanie kodu. Podatność, nazwana Node2Shell i oznaczona jako CVE-2026-111497, dotyczy wersji 24.22.0 i stanowi poważne zagrożenie dla aplikacji opartych na tej technologii. Na szczęście twórcy Node.js przygotowali już odpowiednią łatkę.
Nowo odkryta podatność zagraża serwerom i aplikacjom wykorzystującym Node.js w wersji 24.22.0. Problem leży w implementacji mechanizmu kompresji danych Brotli, który, w przypadku otrzymania specjalnie spreparowanych danych, może zostać wykorzystany do zdalnego uruchomienia dowolnego kodu na serwerze. Tego typu luka, znana jako RCE (Remote Code Execution), jest jedną z najpoważniejszych w świecie cyberbezpieczeństwa.
Luka pozwala na zdalne wykonanie kodu, co może prowadzić do całkowitego przejęcia kontroli nad systemem, kradzieży danych, infekcji złośliwym oprogramowaniem i innych poważnych naruszeń bezpieczeństwa.
Atakujący nie potrzebuje uwierzytelnienia, aby wykorzystać Node2Shell, co znacząco zwiększa ryzyko masowych ataków na publicznie dostępne usługi. Każda aplikacja webowa korzystająca z podatnej wersji Node.js i przetwarzająca dane skompresowane algorytmem Brotli jest potencjalnym celem.
Podstawowym i najpilniejszym działaniem, jakie muszą podjąć administratorzy i deweloperzy, jest natychmiastowa aktualizacja środowiska Node.js do najnowszej wersji zawierającej oficjalną poprawkę bezpieczeństwa. Zwlekanie z tą czynnością naraża systemy na bezpośrednie ryzyko ataku.
Eksperci ds. bezpieczeństwa podkreślają jednak, że sama aktualizacja to tylko część kompleksowej strategii obronnej. Organizacje powinny wdrożyć wielowarstwowe podejście do ochrony swoich aplikacji, które obejmuje:
Na rynku dostępne są platformy, które automatyzują te procesy. Przykładowo, firma Aikido oferuje zestaw narzędzi AppSec, który wykorzystuje sztuczną inteligencję do automatycznego wykrywania i naprawy podatności. Z kolei rozwiązania takie jak zaawansowany firewall aplikacyjny (WAF) i platforma WAAP od firmy Imperva mogą stanowić dodatkową warstwę ochrony, blokując próby wykorzystania luki na poziomie sieciowym, zanim dotrą one do samej aplikacji.
Pasquale Pillitteri, „Node2Shell, luka RCE w Node.js potwierdzona na wersji 24.22.0, łatka gotowa”, pasqualepillitteri.it, 2026. https://pasqualepillitteri.it/pl/news/26465/node2shell-luka-rce-nodejs-24-22-0
Node2Shell: From Brotli Data to Remote Code Execution in NodeJS, Aikido Security, 2026. https://www.aikido.dev/blog/node2shell-nodejs-brotli-rce-cve-2026-111497
Node2Shell: From Brotli Data to Remote Code Execution, Imperva, 2026. https://www.imperva.com/blog/node2shell-from-brotli-data-to-remote-code-execution/
Node2Shell: A Critical RCE Vulnerability in Node.js Brotli Library (CVE-2026-111497), Brandefense, 2026. https://brandefense.io/blog/node2shell-nodejs-brotli-rce-cve-2026-111497/
Node.js security best practices, Node.js, 2026. https://nodejs.org/learn/getting-started/security-best-practices
