26 жовтня 2026 року Fortinet оприлюднила бюлетень FG-IR-26-187, у якому перелічено десять вразливостей Node.js, що впливають на гілки 22.x, 24.x і 26.x. Бюлетень позначено як критичний (CVSSv3 9.8) і в нього включено понад 40 продуктів Fortinet, стосовно яких ще триває розслідування. Найнебезпечніша з перелічених вразливостей — CVE-2026-111497 — дає змогу віддаленого виконання коду через помилку запису за межі буфера в декодері Brotli й уже внесена до каталогу CISA KEV із кінцевим терміном усунення до 10 листопада 2026 року. Організаціям, які використовують продукти Fortinet або Node.js, необхідно негайно оцінити свою вразливість і оновити середовища виконання.
Десять вразливостей: що виправлено в жовтневому релізі Node.js
21 жовтня 2026 року проєкт Node.js випустив оновлення безпеки, що усувають 10 вразливостей. За даними Qualys, чотири з них мають високий рівень серйозності:
- CVE-2026-111497 (High) — запис за межі буфера в декодері Brotli, що дозволяє пошкодження пам’яті процесу, витік даних або віддалене виконання коду. Стосується Node.js 22.x, 24.x і 26.x.
- CVE-2026-105482 (High) — усікання DNS-резолвінгу за наявності вбудованих NUL-символів. Стосується 22.x, 24.x і 26.x.
- CVE-2026-105483 (High) — обхід валідації TLS-імені хоста з використанням повноширинних цифр. Стосується 24.x і 26.x.
- CVE-2026-106069 (High) — обхід валідації TLS-імені хоста з неканонічними IP-адресами. Стосується 22.x, 24.x і 26.x.
Ще три вразливості (CVE-2026-105481, CVE-2026-106072, CVE-2026-106074) мають середній рівень серйозності та стосуються всіх трьох гілок. Три вразливості низького рівня серйозності (CVE-2026-106070, CVE-2026-106071, CVE-2026-106073) здебільшого стосуються 26.x.
Виправлені версії Node.js: 22.23.4, 24.22.1 і 26.12.1, згідно з офіційним бюлетенем Node.js.
CVE-2026-111497: від вразливості до експлуатації за лічені дні
Центральна вразливість бюлетеня — CVE-2026-111497 — варта окремої уваги через стрімкий перехід від розкриття до активної експлуатації. Ми вже детально розбирали цю вразливість у контексті її впливу на екосистему Brotli.
Важливий нюанс в оцінці серйозності: Node.js присвоює CVE-2026-111497 рейтинг High, тоді як Rapid7 і Qualys вказують CVSS 9.2 Critical від CNA. Fortinet у своєму бюлетені наводить CVSSv3 9.8, однак це значення належить до метаданих багатовразливісного документа й асоційоване з CVE-2026-106069 — поширювати його на всі десять CVE некоректно.
Хронологія експлуатації змінювалася стрімко. За даними Rapid7, станом на 26 жовтня 2026 року активної експлуатації зафіксовано не було. Однак уже 27 жовтня CISA внесла CVE-2026-111497 до каталогу KEV, а компанія Previdian зафіксувала спробу експлуатації на своїх сенсорах. Важливо підкреслити: телеметрія Previdian фіксує спробу експлуатації, а не підтверджену компрометацію — даних про успішні атаки чи жертв поки що немає.
Як зазначає Rapid7, експлуатація можлива лише тоді, коли застосунок розпаковує контрольовані зловмисником дані у форматі Brotli через модуль node:zlib. Це означає, що не кожен сервіс на Node.js однаково піддається ризику — рівень загрози визначається наявністю шляху обробки недовірених Brotli-даних.
Масштаб впливу на продукти Fortinet
Бюлетень FG-IR-26-187 перелічує понад 40 продуктів Fortinet зі статусом «розслідується», зокрема FortiOS, FortiProxy, FortiSIEM, FortiMail, FortiSandbox, FortiNAC, FortiEDR, FortiSASE та багато інших. Це не означає, що всі перелічені продукти є вразливими — розслідування триває.
Водночас Fortinet підтвердила, що низка продуктів не зачеплена: FortiManager, FortiAnalyzer, FortiClient (EMS, iOS, macOS, Windows), FortiAuthenticator, FortiWeb, FortiSOAR, FortiCamera та інші. Організаціям, які використовують продукти Fortinet, необхідно відстежувати оновлення бюлетеня, щоб отримати остаточний статус щодо кожного продукту.
Fortinet — далеко не єдиний вендор, який оцінює вплив. Бюлетені щодо CVE-2026-111497 опублікували Cisco, F5, Red Hat, Ubuntu, Amazon Linux, Envoy Proxy, Bun, Microsoft .NET та інші. За даними Wiz, у їхньому датасеті 91% хмарних середовищ містять ресурси, вразливі до CVE-2026-111497, а 82% мають публічно доступні екземпляри Node.js. Ці цифри відображають вибірку Wiz і не є універсальною оцінкою, проте вказують на масштаб потенційної поверхні атаки.
Практичні рекомендації
Пріоритет оновлення варто визначати за досяжністю вразливого коду:
- Найвищий пріоритет — інтернет-доступні сервіси, що обробляють недовірені Brotli-дані (вебсервери з підтримкою Content-Encoding: br, API-шлюзи, проксі). Оновіть Node.js до версій 22.23.4, 24.22.1 або 26.12.1.
- Високий пріоритет — сервіси, які виконують вихідні DNS-запити або TLS-з’єднання за користувацькими даними (актуально для CVE-2026-105482, CVE-2026-105483, CVE-2026-106069).
- Стандартний пріоритет — внутрішні сервіси без обробки зовнішніх даних.
Вкрай важливо: як зазначає Qualys, вразливий код міститься в самому середовищі виконання Node.js, а не в пакетах застосунків. Стандартні перевірки залежностей через npm audit можуть не виявити проблему. Інвентаризація має охоплювати контейнери, однофайлові застосунки (SEA), безсерверні функції, середовища, якими керують менеджери версій, і вбудовані копії рантайму.
Node.js не пропонує тимчасових рішень — оновлення є єдиним повноцінним способом усунення. Організації, які використовують зняті з підтримки версії Node.js, мають перейти на підтримувану гілку. Користувачам продуктів Fortinet слід відстежувати оновлення бюлетеня FG-IR-26-187, щоб отримати фінальний статус щодо кожного продукту. Кінцевий термін усунення за вимогою CISA для федеральних агентств США — 10 листопада 2026 року; комерційним організаціям доцільно орієнтуватися на той самий горизонт.
