26 октября 2026 года Fortinet опубликовала бюллетень FG-IR-26-187, в котором перечислены десять уязвимостей Node.js, затрагивающих линейки 22.x, 24.x и 26.x. Бюллетень помечен как критический (CVSSv3 9.8) и включает более 40 продуктов Fortinet, статус которых ещё расследуется. Наиболее опасная из перечисленных уязвимостей — CVE-2026-111497 — позволяет удалённое выполнение кода через ошибку записи за пределами буфера в декодере Brotli и уже внесена в каталог CISA KEV со сроком устранения до 10 ноября 2026 года. Организациям, использующим продукты Fortinet или Node.js, необходимо немедленно оценить свою подверженность и обновить среды исполнения.
Десять уязвимостей: что исправлено в октябрьском релизе Node.js
21 октября 2026 года проект Node.js выпустил обновления безопасности, устраняющие 10 уязвимостей. По данным Qualys, четыре из них имеют высокую степень серьёзности:
- CVE-2026-111497 (High) — запись за пределами буфера в декодере Brotli, позволяющая повреждение памяти процесса, утечку данных или удалённое выполнение кода. Затрагивает Node.js 22.x, 24.x и 26.x.
- CVE-2026-105482 (High) — усечение DNS-резолвинга при наличии встроенных NUL-символов. Затрагивает 22.x, 24.x и 26.x.
- CVE-2026-105483 (High) — обход валидации TLS-имени хоста с использованием полноширинных цифр. Затрагивает 24.x и 26.x.
- CVE-2026-106069 (High) — обход валидации TLS-имени хоста с неканоническими IP-адресами. Затрагивает 22.x, 24.x и 26.x.
Ещё три уязвимости (CVE-2026-105481, CVE-2026-106072, CVE-2026-106074) имеют среднюю степень серьёзности и затрагивают все три линейки. Три уязвимости низкой степени серьёзности (CVE-2026-106070, CVE-2026-106071, CVE-2026-106073) затрагивают преимущественно 26.x.
Исправленные версии Node.js: 22.23.4, 24.22.1 и 26.12.1, согласно официальному бюллетеню Node.js.
CVE-2026-111497: от уязвимости к эксплуатации за считанные дни
Центральная уязвимость бюллетеня — CVE-2026-111497 — заслуживает отдельного внимания из-за стремительного перехода от раскрытия к активной эксплуатации. Мы уже подробно разбирали эту уязвимость в контексте её влияния на экосистему Brotli.
Важный нюанс в оценке серьёзности: Node.js присваивает CVE-2026-111497 рейтинг High, тогда как Rapid7 и Qualys указывают CVSS 9.2 Critical от CNA. Fortinet в своём бюллетене указывает CVSSv3 9.8, однако это значение относится к метаданным мультиуязвимостного документа и ассоциировано с CVE-2026-106069 — распространять его на все десять CVE некорректно.
Хронология эксплуатации менялась стремительно. По данным Rapid7, на 26 октября 2026 года активная эксплуатация не была зафиксирована. Однако уже 27 октября CISA внесла CVE-2026-111497 в каталог KEV, а компания Previdian зафиксировала попытку эксплуатации на своих сенсорах. Следует подчеркнуть: телеметрия Previdian фиксирует попытку эксплуатации, а не подтверждённую компрометацию — данных об успешных атаках или жертвах пока нет.
Как отмечает Rapid7, эксплуатация возможна только когда приложение распаковывает контролируемые атакующим данные в формате Brotli через модуль node:zlib. Это означает, что не каждый сервис на Node.js одинаково подвержен риску — степень угрозы определяется наличием пути обработки недоверенных Brotli-данных.
Масштаб влияния на продукты Fortinet
Бюллетень FG-IR-26-187 перечисляет более 40 продуктов Fortinet в статусе «расследуется», включая FortiOS, FortiProxy, FortiSIEM, FortiMail, FortiSandbox, FortiNAC, FortiEDR, FortiSASE и многие другие. Это не означает, что все перечисленные продукты уязвимы — расследование продолжается.
Одновременно Fortinet подтвердила, что ряд продуктов не затронут: FortiManager, FortiAnalyzer, FortiClient (EMS, iOS, macOS, Windows), FortiAuthenticator, FortiWeb, FortiSOAR, FortiCamera и другие. Организациям, использующим продукты Fortinet, необходимо отслеживать обновления бюллетеня для получения окончательного статуса по каждому продукту.
Fortinet — далеко не единственный вендор, оценивающий влияние. Бюллетени по CVE-2026-111497 опубликовали Cisco, F5, Red Hat, Ubuntu, Amazon Linux, Envoy Proxy, Bun, Microsoft .NET и другие. По данным Wiz, в их датасете 91% облачных сред содержат ресурсы, уязвимые к CVE-2026-111497, а 82% имеют публично доступные экземпляры Node.js. Эти цифры отражают выборку Wiz и не являются универсальной оценкой, но указывают на масштаб потенциальной поверхности атаки.
Практические рекомендации
Приоритет обновления следует определять по достижимости уязвимого кода:
- Наивысший приоритет — интернет-доступные сервисы, обрабатывающие недоверенные Brotli-данные (веб-серверы с поддержкой Content-Encoding: br, API-шлюзы, прокси). Обновите Node.js до версий 22.23.4, 24.22.1 или 26.12.1.
- Высокий приоритет — сервисы, выполняющие исходящие DNS-запросы или TLS-соединения по пользовательским данным (актуально для CVE-2026-105482, CVE-2026-105483, CVE-2026-106069).
- Стандартный приоритет — внутренние сервисы без обработки внешних данных.
Критически важно: как отмечает Qualys, уязвимый код находится в самой среде исполнения Node.js, а не в пакетах приложений. Стандартные проверки зависимостей через npm audit могут не обнаружить проблему. Инвентаризация должна охватывать контейнеры, однофайловые приложения (SEA), серверлесс-функции, среды, управляемые менеджерами версий, и встроенные копии рантайма.
Node.js не предлагает обходных решений — обновление является единственным полным способом устранения. Организации, использующие снятые с поддержки версии Node.js, должны перейти на поддерживаемую линейку. Для пользователей продуктов Fortinet — отслеживайте обновления бюллетеня FG-IR-26-187 для получения финального статуса по каждому продукту. Срок устранения по требованию CISA для федеральных агентств США — 10 ноября 2026 года; коммерческим организациям целесообразно ориентироваться на тот же горизонт.
