Vulnerabilitatea Node2Shell (CVE-2026-111497): ce trebuie să verifice clienții MioriticHost care rulează aplicații Node.js

Ce s-a întâmplat: vulnerabilitatea Node2Shell pe scurt

Pe 21 octombrie 2026, proiectul Node.js a publicat versiunile corectate 22.23.4, 24.22.1 și 26.12.1 pentru a remedia CVE-2026-111497, o vulnerabilitate critică denumită de cercetătorii Akamai Node2Shell. Problema se află în decodorul Brotli inclus în Node.js, folosit de modulul intern node:zlib. Un flux Brotli malformat poate provoca o scriere în afara limitelor memoriei (out-of-bounds write), ceea ce poate duce la oprirea procesului (crash), la expunerea unor date din memorie sau, în cel mai grav caz, la execuție de cod de la distanță. Vulnerabilitatea nu necesită autentificare. Scorul CVSS publicat de Akamai este 9.2 (critic); proiectul Node.js o clasifică drept high. Proiectul Node.js nu oferă nicio soluție alternativă: actualizarea la o versiune corectată este singura remediere completă.

Cine este afectat și în ce situații

• Versiuni vulnerabile: Node.js 26.x înainte de 26.12.1, 24.x înainte de 24.22.1, 22.x înainte de 22.23.4. Liniile 25.x, 23.x, 20.x și mai vechi nu mai sunt întreținute și nu primesc nicio corecție.
• Cel mai expus scenariu: aplicații cu Express 5 și body-parser 2, unde parserii json, raw, text și urlencoded au opțiunea inflate activă implicit. Orice cerere HTTP trimisă cu antetul Content-Encoding: br este decomprimată automat, ceea ce activează codul vulnerabil.
• De asemenea afectat: fetch() din Node.js, care decomprimă automat răspunsurile Brotli primite de la servere externe.
• Mai puțin expus: un server HTTP Node.js simplu, fără middleware de decompresie, nu decomprimă singur corpul cererilor și nu activează direct vulnerabilitatea.
• Măsură temporară (dacă actualizarea nu se poate face imediat): setează inflate: false în body-parser pentru a respinge cererile comprimate cu HTTP 415; restricționează accesul la serviciile Node.js care nu trebuie să fie publice.

Ce am făcut noi la MioriticHost

Pe serverele de găzduire partajată MioriticHost, versiunile Node.js 22 și 24 disponibile în cPanel prin Setup Node.js App sunt deja actualizate la 22.23.4 și respectiv 24.22.1, prin actualizările furnizorului nostru de platformă, CloudLinux. Pe 29 octombrie 2026 am verificat aplicațiile Node.js găzduite pe serverele noastre. Aplicațiile care folosesc Express 5 rulează deja pe versiuni corectate. Securitatea clienților noștri este prioritatea noastră, iar aceste verificări fac parte din procesul nostru obișnuit de monitorizare a vulnerabilităților critice.

Ce trebuie să faci tu: pași concreți pentru găzduire partajată și VPS

• Găzduire partajată cPanel (Setup Node.js App): Intră în cPanel și deschide Setup Node.js App. Verifică versiunea Node.js setată pentru fiecare aplicație. Dacă aplicația rulează pe Node.js 20 sau o versiune mai veche, trebuie să o muți pe Node.js 22 sau 24: selectează noua versiune din lista derulantă, rulează din nou Run NPM Install și repornește aplicația. Înainte de a schimba versiunea în producție, testează că aplicația funcționează corect pe noua versiune. Dacă aplicația rulează deja pe Node.js 22 sau 24, nu este necesară nicio acțiune suplimentară.
• VPS administrat de tine: Verifică versiunea instalată cu comanda node -v. Dacă rezultatul arată o versiune mai veche de 22.23.4, 24.22.1 sau 26.12.1, actualizează imediat la cea mai recentă versiune din linia ta activă (22, 24 sau 26). Dacă rulezi Node.js 20.x sau mai vechi, trebuie să migrezi pe o linie întreținută (22 LTS sau 24 LTS) înainte de a aplica corecția. Același lucru este valabil pentru orice aplicație Node.js găzduită în altă parte.
• Verificare suplimentară recomandată: Dacă folosești Express 5 cu body-parser 2, confirmă că aplicația ta rulează pe o versiune corectată. Dacă ai setat temporar inflate: false ca măsură de protecție, poți reveni la setarea implicită după actualizare.

Actualizarea la o versiune corectată este singura remediere completă pentru Node2Shell. Proiectul Node.js nu oferă nicio soluție alternativă.

Dacă ai nevoie de ajutor pentru a migra o aplicație pe o versiune nouă de Node.js sau ai întrebări despre configurația din cPanel, deschide un tichet la echipa de suport MioriticHost și îți răspundem cu pași specifici situației tale. Pentru detalii tehnice despre vulnerabilitate, poți consulta analiza Akamai: Inside Node2Shell: A closer look at CVE-2026-111497 (akamai.com/blog/security-research).