21 жовтня, у день, коли PHP закрили дві критичні вразливості php2shell, Node.js випустили оновлення безпеки 26.12.1, 24.22.1 і 22.23.4. Вони закривають десять вразливостей, чотири з них високого рівня. Через одну з них, CVE-2026-111497 у декодері стиснення Brotli, можна віддалено запустити свій код. Того ж дня GitLab випустили критичне оновлення з виправленням CVE-2026-110264. Це вразливість з максимальною оцінкою 10 з 10, через яку зловмисник без логіну може виконати код на сервері GitLab.
Про обидва оновлення нам у коментарях написав підписник Litl, DevOps-інженер. За його словами, GitLab латають уже втретє за місяць.
Кому оновлювати Node.js
Node.js запускає JavaScript на сервері. На ньому працюють, наприклад, сайти на Next.js і Nuxt, боти, парсери й багато внутрішніх інструментів.
- Подивіться версію Node.js на сервері командою node -v або спитайте розробника.
- Якщо там 26.x, 24.x або 22.x, оновіть до 26.12.1, 24.22.1 або 22.23.4.
- Якщо там 20.x або 18.x, ці гілки вже без підтримки. Node.js пишуть, що версії без підтримки завжди вразливі, коли виходить оновлення безпеки, тож треба переходити на 22, 24 або 26.
- Якщо застосунок працює в Docker, перезберіть образ з новою версією Node.js і перезапустіть контейнери.
- Якщо сайт обслуговує розробник або агенція, перешліть їм цю новину.
Що виправили в Node.js
- CVE-2026-111497: помилка в декодері Brotli записує дані за межі виділеної пам'яті, і через це можна віддалено виконати код.
- CVE-2026-105482: функція dns.resolve обрізає доменне ім'я, якщо в ньому є нульовий символ.
- CVE-2026-105483 і CVE-2026-106069: обхід перевірки імені сервера в сертифікаті TLS, тобто з'єднання може пройти перевірку для чужої адреси.
Ще три вразливості середнього рівня і три низького. Разом з ними Node.js оновили бібліотеки OpenSSL, c-ares, Undici і SQLite, а також список сертифікатів після компрометації проміжного центру сертифікації eMudhra. Чи атакують через ці вразливості, Node.js не пишуть.
GitLab: вразливість з оцінкою 10 з 10
CVE-2026-110264 — це переповнення числа в компіляторі регулярних виразів GitLab, яке дає змогу виконати код на сервері. Логін для атаки не потрібен. Вразливі версії GitLab Community і Enterprise, починаючи з 7.0, тобто релізи приблизно за 12 років, як підрахували The Hacker News.
Оновлюватися треба тим, хто тримає GitLab на власному сервері. Виправлення є у версіях 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 і 18.11.13. GitLab.com уже оновлений. Обхідного рішення GitLab не дали. Сервер GitLab з одним вузлом під час оновлення буде недоступний, поки не завершаться міграції бази даних.
У тому самому оновленні GitLab закрили ще 11 вразливостей, дві з них високого рівня.