Node2Shell i alarm w Node.js, Fortinet i Java

Black October wciąż nie odpuszcza

Końcówka października przyniosła kolejną serię pilnych poprawek bezpieczeństwa. Tym razem na celowniku znalazły się Node.js, rozwiązania Fortinet oraz Oracle Java. Wspólny mianownik? Luka lub zestaw luk, które mogą wymagać natychmiastowej reakcji administratorów i zespołów utrzymaniowych.

Node2Shell: podatność w Brotli może prowadzić do RCE

Najgłośniejszym punktem tego zestawu jest podatność nazwana Node2Shell, oznaczona jako CVE-2026-111497. Problem dotyczy implementacji Brotli używanej przez Node.js. Chodzi o zapis poza granice bufora podczas przetwarzania złośliwie przygotowanych, skompresowanych danych.

W praktyce oznacza to możliwość Remote Code Execution (RCE), ale nie na każdej aplikacji Node.js z automatu. Zagrożenie pojawia się wtedy, gdy aplikacja przetwarza niezaufane dane Brotli.

Kogo dotyczy problem

Według opisu podatności najbardziej narażone są scenariusze, w których aplikacja:

• odbiera odpowiedzi HTTP kompresowane Brotli,
• korzysta z fetch() i pobiera dane z zewnętrznych serwerów,
• obsługuje webhooki lub adresy wskazywane przez użytkownika,
• używa bezpośrednio funkcji node:zlib, takich jak brotliDecompress lub createBrotliDecompress.

W szczególności wskazano, że standardowe konfiguracje Express 5 oraz body-parser 2.x mogą ujawniać podatny dekoder nawet wtedy, gdy programista nie używa Brotli bezpośrednio w kodzie.

Jakie wersje są poprawione

Projekt Node.js opublikował poprawki dla gałęzi:

• 22.23.4
• 24.22.1
• 26.12.1

Zmiany obejmują nie tylko łatkę dla Brotli, ale także aktualizację wbudowanego magazynu certyfikatów.

Nieco dalej idzie praktyczny wniosek: jeśli aplikacja przetwarza dane kompresowane przez Brotli i może dostać je od atakującego, aktualizacja Node.js jest konieczna. Starsze gałęzie, które są już poza wsparciem, nie otrzymają poprawek.

Fortinet publikuje zestaw pilnych aktualizacji

Drugim ważnym tematem są poprawki bezpieczeństwa dla produktów Fortinet. Firma wydała skoordynowane aktualizacje dla:

• FortiOS
• FortiManager
• FortiAnalyzer

Zalecenie dla klientów jest jednoznaczne: zaplanować aktualizację i wdrożyć ją jak najszybciej, a urządzenia wystawione do internetu potraktować priorytetowo.

Na ten moment wiadomo, że szczegóły podatności mają zostać ujawnione później, co zwykle oznacza, że administratorzy powinni działać zawczasu, a nie czekać na pełną publikację technicznych detali.

Oracle Java z krytyczną poprawką

Trzecim elementem układanki jest Oracle Java. Firma opublikowała awaryjny update dla Java SE oraz GraalVM, aby zamknąć lukę oznaczoną jako CVE-2026-91403.

Podatność otrzymała wysoki CVSS 3.1: 9,1 i dotyczy obsługi pośrednich certyfikatów. Problem wiąże się z zaufaniem do certyfikatów pośrednich związanych z eMudhra. W praktyce oznacza to ryzyko, że system akceptował certyfikaty, które nie powinny już być uznawane za bezpieczne.

Poprawka ma zablokować certyfikaty pośrednich urzędów certyfikacji powiązanych z tą sprawą.

Co wynika z tej serii alertów

Październik znów przypomina, że bezpieczeństwo oprogramowania to nie jednorazowy proces, ale ciągła walka z nowymi błędami i ich konsekwencjami. W tym przypadku widać trzy różne klasy problemów:

• błąd pamięciowy w Node.js prowadzący do RCE,
• seryjne poprawki bezpieczeństwa w urządzeniach i oprogramowaniu Fortinet,
• krytyczny problem z zaufaniem do certyfikatów w ekosystemie Oracle Java.

Dla administratorów przekaz jest prosty: sprawdzić wersje, zaplanować wdrożenie łatek i nie odkładać reakcji na później. W przypadku takich podatności czas działa na korzyść atakujących.