Was ist passiert?
In der vm2-Sandbox der Open-Source-JavaScript-Laufzeitumgebung Node.js wurden mehrere Sicherheitslücken geschlossen. Mit der Version 3.11.4 haben die Entwickler insgesamt vier „kritische" Schwachstellen behoben, die jeweils mit dem höchstmöglichen CVSS-Score von 10.0 bewertet wurden: CVE-2026-47208, CVE-2026-47137, CVE-2026-47140 und CVE-2026-47131. Bei allen vier Lücken handelt es sich um Sandboxausbrüche, mit denen Angreifer Host-PCs mit Schadcode kompromittieren können.
Die Details
Der Kern des Problems liegt darin, dass die Prozesse process und inspector/promises nicht in der Sperrliste von Node.js aufgeführt sind. Angreifer können darüber für einen Sandboxausbruch ansetzen. Zusätzlich lassen sich verschiedene Funktionen kombinieren, um mithilfe des TypeError-Constructors ins Hostsystem zu gelangen.
Neben den vier kritischen Lücken schließt der Patch eine weitere „kritische" Schwachstelle (CVE-2026-47210), die im Kontext von WebAssembly JSPI einen zusätzlichen Sandboxausbruch ermöglicht. Darüber hinaus haben die Entwickler drei Sicherheitslücken mit dem Bedrohungsgrad „hoch" geschlossen (CVE-2026-47139, CVE-2026-47209, CVE-2026-47135).
Weiterführende technische Details zu den einzelnen Schwachstellen finden sich im Sicherheitsbereich der GitHub-Website des Projekts.
Einordnung
vm2 sorgt bereits seit Anfang Mai wiederholt für Schlagzeilen, weil Angreifer die Sandbox immer wieder überwinden konnten. Erst kürzlich hatten die Entwickler zwei weitere „kritische" Sicherheitslücken (CVE-2026-26956, CVE-2026-45411) geschlossen. Die aktuellen Funde reihen sich damit in eine längere Serie von Sicherheitsproblemen bei dieser Sandbox-Lösung ein.
Für die Sicherheitstechnik-Branche ist diese Entwicklung relevant, weil viele Anwendungen und Dienste auf Node.js basieren – auch im Umfeld von Videomanagement-Systemen, Zutrittskontrollplattformen oder webbasierten Verwaltungsoberflächen für Alarmanlagen. Eine kompromittierte Sandbox kann im schlimmsten Fall dazu führen, dass Angreifer die Kontrolle über das zugrunde liegende Hostsystem erlangen und damit potenziell auch auf angebundene Sicherheitsinfrastruktur zugreifen.
Praxis-Tipps
- Administratoren sollten die betroffenen Systeme umgehend auf die Version 3.11.4 aktualisieren, um die geschlossenen Lücken zu schließen.
- Systeme, die vm2 in Verbindung mit Node.js-Anwendungen einsetzen, sollten auf ihre Angriffsfläche geprüft werden – insbesondere dort, wo webbasierte Managementoberflächen für Sicherheitstechnik betrieben werden.
- Auch wenn bislang keine aktive Ausnutzung der Schwachstellen bekannt ist, sollte das Patchen nicht aufgeschoben werden, da bei einem CVSS-Wert von 10.0 das theoretische Schadenspotenzial maximal ist.
- Der Sicherheitsbereich der GitHub-Website des vm2-Projekts sollte regelmäßig auf neue Advisories geprüft werden, da bereits mehrfach in kurzer Folge kritische Lücken aufgetreten sind.
Ausblick
Angesichts der Häufung kritischer Sicherheitslücken seit Anfang Mai ist davon auszugehen, dass die Sicherheitsforschung an vm2 weiterhin aktiv bleibt und möglicherweise weitere Schwachstellen zutage fördert. Für Betreiber von Systemen, die auf Node.js und vm2 aufbauen, bedeutet dies, dass Patch-Management-Prozesse konsequent etabliert und regelmäßig überprüft werden sollten. Details zu einer eventuellen aktiven Ausnutzung der aktuellen Lücken sind noch nicht bekannt, weshalb Wachsamkeit und zeitnahes Patchen die derzeit wichtigsten Schutzmaßnahmen bleiben.
