پروژه Node.js در تاریخ ۲۱ اکتبر ۲۰۲۶، به‌روزرسانی‌های امنیتی جدیدی را برای نسخه‌های 26.x، 24.x و 22.x منتشر کرد. این به‌روزرسانی‌ها شامل رفع ۱۰ آسیب‌پذیری مختلف است که چهار مورد از آن‌ها دارای سطح شدت بالا (High-severity) هستند.
رفع نقص بحرانی RCE
مهم‌ترین مورد شناسایی شده، آسیب‌پذیری CVE-2026-111497 است که در رمزگشا (Decoder) پروتکل Brotli رخ می‌دهد. این نقص از نوع Out-of-bounds write است که می‌تواند منجر به اجرای کد از راه دور (Remote Code Execution یا RCE) شود. این آسیب‌پذیری نسخه‌های 26.x، 24.x و 22.x را تحت تأثیر قرار می‌دهد.
سایر آسیب‌پذیری‌ها و وابستگی‌ها
علاوه بر مورد فوق، سه آسیب‌پذیری با شدت بالا دیگر در زمینه مدیریت Hostname گزارش شده است. همچنین، آسیب‌پذیری CVE-2026-106074 در بخش تولید اعداد تصادفی (Cryptographic randomness) شناسایی شده که می‌تواند باعث تکرار مقادیر در فرآیندهای مختلف شود.
- به‌روزرسانی وابستگی‌ها: نسخه‌های جدید شامل آپدیت‌های امنیتی برای c-ares، Undici، OpenSSL و SQLite هستند.
- اصلاح گواهی‌ها: به‌روزرسانی گواهی‌های CA برای مقابله با مشکل احتمالی در eMudhra Intermediate CA انجام شده است.
اقدام لازم: با توجه به اینکه هیچ راهکار جایگزینی (Workaround) برای این نقص‌ها ارائه نشده است، مدیران سیستم و مهندسان امنیت باید بلافاصله محیط‌های خود را به نسخه‌های اصلاح‌شده شامل 26.12.1، 24.22.1 یا 22.23.4 ارتقا دهند.
به‌روزرسانی (اکتبر 22, 2026 — The Hacker News)
به‌روزرسانی:
تحقیقات جدید نشان می‌دهد که اثبات مفهوم (PoC) منتشر شده برای آسیب‌پذیری RCE در رمزگشای Brotli، در نسخه‌های استاندارد Node.js تنها منجر به کرش (Crash) و خواندن محدود از حافظه فرآیند می‌شود و هنوز موفقیت‌آمیز بودن اجرای کد از راه دور (Remote Code Execution) در محیط‌های عادی تایید نشده است.
علاوه بر این، جزئیات مربوط به سایر آسیب‌پذیری‌های شناسایی شده منتشر شد:
- CVE-2026-106069 و CVE-2026-105483: نقص‌های سطح بالا (High) در بررسی گواهی‌های TLS که امکان دور زدن (Bypass) اعتبارسنجی میزبان را فراهم می‌کنند.
- CVE-2026-105482: آسیب‌پذیری در تابع
dns.resolveکه می‌تواند باعث کوتاه شدن نام میزبان با استفاده از کاراکتر Null Byte شود. - CVE-2026-106074: نقص سطح متوسط در توابع تولید اعداد تصادفی (
crypto.randomUUIDوcrypto.randomInt) در حالت‌های خاص مانند Startup Snapshot.
همچنین، در این به‌روزرسانی، ۸ کلید واسط (Intermediate CA keys) متعلق به شرکت هندی eMudhra که مورد نفوذ قرار گرفته بودند، به‌صورت داخلی مسدود شدند تا از استفاده از زنجیره گواهی‌های آلوده جلوگیری شود.
