A Node.js október 21-i biztonsági frissítése tíz külön hibát kezel, köztük egy távoli kódfuttatást lehetővé tevő Brotli-sebezhetőséget. Október 22-én az Imperva kutatói működő kihasználásról számoltak be. A teendő a futtatókörnyezet frissítése, és annak ellenőrzése, hogy az éles alkalmazás valóban az új verzióval indult el.
A CVE-2026-111497 a Node.js-be épített Brotli-dekódert érinti. A Node.js projekt a hibát magas, azaz High súlyosságúnak sorolja. A hibásan formázott tömörített adat feldolgozása a megengedett memóriaterületen kívüli íráshoz vezethet. A kiadási csomag DNS-, TLS-, HTTP-, véletlenszám-kezelési és jogosultsági problémákat is javít. Forrás: Node.js, 2026. október 21.
Mit mutattak be a kutatók?
Az Imperva október 22-i közlése szerint a kutatók a hivatalos Node.js 24.22.0 Linux arm64 konténerképen tudtak kódot futtatni támadó által előállított Brotli-adattal. Ugyanezt a bemenetet a javított 24.22.1 már elutasította. Express 5.0.0–5.3.0 és body-parser 2.0.0–2.3.0 verziókat is vizsgáltak; saját tesztjükben a sikeres kódfuttatáshoz több próbálkozás kellett. Ez konkrét laboreredmény, nem minden telepítésre érvényes sikerarány. Forrás: Imperva Threat Research, Node2Shell
A kutatói demonstráció és egy éles, igazolt tömeges támadássorozat külön állítás. A hivatkozott bizonyíték alapján a hiba gyakorlati kihasználhatóságát komolyan kell venni; globális áldozatszámot azonban ezekből a közleményekből nem lehet megadni. Ezért ebben a cikkben nem szerepel kitalált „érintett weboldalak milliói” szám.
Interaktív ábra: hány javítás vonatkozik a verzióágadra?
Az érintettség kulcsa: ki csomagolja ki az adatot?
A Node.js puszta futása még nem jelenti, hogy minden kérés eléri a sérülékeny dekódert. A veszély akkor áll fenn, amikor az alkalmazás vagy valamely könyvtára támadó által befolyásolható Brotli-adatot bont ki. Ez érkezhet bejövő HTTP-kérés törzsében, de egy másik szervertől lekért válaszban is. A sikeres kódfuttatás a Node.js-folyamat jogosultságaival történik. Forrás: Vercel biztonsági közlemény
Ez megmagyarázza, miért nem elég a bejövő forgalom szűrésére hivatkozni. A Vercel közlése szerint a WAF-szabályaik a hálózatukon áthaladó bejövő támadási mintákat szűrik, de az alkalmazás által más szerverektől lekért válaszokra ez a védelem nem terjed ki. A szolgáltató is a futtatókörnyezet javítását kéri; a WAF kiegészítő védelmi réteg. Vercel: a WAF-védelem határai
Mit frissíts, és hogyan ellenőrizd?
A mostani biztonsági kiadások: 22.23.4, 24.22.1 és 26.12.1. Az adott ágon ennél újabb javított kiadás is megfelelő lehet; telepítés előtt ellenőrizd az aktuális gyártói közleményt. A megszokott verzióág biztonsági frissítése és a főverzióváltás külön döntés, eltérő kompatibilitási munkával. Node.js: letöltések és érintett ágak
- Készíts leltárt. Az éles backend, a háttérfeladatok, a konténerek és a CI-futtatókörnyezet is számít. A laptopodon kiadott
node --versioncsak a helyi folyamatindítót ellenőrzi. - Cseréld a tényleges runtime-ot. Egy npm-csomag frissítése önmagában nem frissíti a Node.js binárist. Konténernél javított alapképből építs, majd telepíts újra.
- Ellenőrizd a futó példányokat. Ne csak a konfigurációt nézd: az újonnan induló folyamat verzióját és a telepített képet is rögzítsd.
- Végezz működési próbát. API-hívás, külső letöltés, tömörített válasz és háttérfeladat is kerüljön a rövid ellenőrzésbe. A visszaállítási terv ne egy javítatlan verzió tartós visszahelyezése legyen.
Gyors válaszok, gyakori félreértések
„Frissítettem az Expresst. Készen vagyok?”
Nem feltétlenül. A hiba a Node.js által használt dekóderben van. A keretrendszer és a futtatókörnyezet verzióját külön kell ellenőrizni.
„A hostingcég dolga, vagy az enyém?”
Azt kell tisztázni, ki kezeli a Node.js runtime-ot. Menedzselt környezetnél kérj szolgáltatói visszaigazolást. Saját konténer vagy VPS esetén az alkalmazás üzemeltetőjének kell elvégeznie a frissítést és az újratelepítést.
„A frissítés bizonyítja, hogy nem törtek be?”
Nem. A javított runtime lezárja a hibát, de a korábbi események értékeléséhez naplók és incidensvizsgálat szükséges. A sebezhető verzió jelenléte önmagában szintén nem bizonyít behatolást.
A szolgáltatói és fejlesztői feladatok elkülönítéséről a PHP-sebezhetőségekről szóló cikkünkben is írtunk. A tanulság itt is azonos: a javítás kiadása csak az első lépés; a védelemhez a javított kódnak kell futnia.
Forrásellenőrzés: 2026. október 23. Az ábra rögzített, hivatkozott adatokkal működik, nem élő sérülékenység-figyelő.
A weboldalon megjelenő szöveges és vizuális tartalmak előállításához mesterséges intelligenciát (AI) használunk.