Исследователи OpenAI обнаружили критическую уязвимость удаленного выполнения кода в библиотеке сжатия Brotli, получившую идентификатор CVE-2026-111497 и название Node2Shell. Ошибка с оценкой 9.2 по шкале CVSS позволяет злоумышленникам выполнять команды на целевых системах без аутентификации.
Уязвимость затрагивает как клиентские, так и серверные приложения. 21 октября 2026 года разработчики Node.js выпустили обновления 22.23.4, 24.22.1 и 26.12.1. Эти патчи также устраняют девять других проблем безопасности, включая обходы проверки TLS-имен хостов.
Проблема также затронула Bun, Envoy и ряд Python-пакетов в репозитории PyPI. Пользователям Bun рекомендуется обновиться до версии 1.4.4. По состоянию на 23 октября 2026 года массовых атак не зафиксировано, однако уже появились доказательства концепции эксплуатации уязвимости.
Разрыв между исправлением исходного кода Brotli в феврале 2026 года и официальным раскрытием информации в октябре 2026 года указывает на сложность обновления встроенных зависимостей в проектах с открытым кодом. Командам разработки следует проверить все компоненты стека на наличие уязвимой библиотеки.
