Que s'est-il passé ?
Plusieurs failles de sécurité ont été corrigées dans le sandbox vm2 de l'environnement d'exécution JavaScript open source Node.js. Avec la version 3.11.4, les développeurs ont corrigé au total quatre vulnérabilités « critiques », chacune notée avec le score CVSS maximal de 10.0 : CVE-2026-47208, CVE-2026-47137, CVE-2026-47140 et CVE-2026-47131. Ces quatre failles sont toutes des évasions de sandbox, permettant à des attaquants de compromettre des PC hôtes avec du code malveillant.
Les détails
Le cœur du problème réside dans le fait que les processus process et inspector/promises ne figurent pas dans la liste de blocage de Node.js. Les attaquants peuvent s'en servir comme point de départ pour une évasion de sandbox. De plus, diverses fonctions peuvent être combinées pour accéder au système hôte à l'aide du constructeur TypeError.
Outre les quatre failles critiques, le correctif comble une autre vulnérabilité « critique » (CVE-2026-47210), qui permet une évasion de sandbox supplémentaire dans le contexte de WebAssembly JSPI. Par ailleurs, les développeurs ont corrigé trois failles de sécurité classées « élevées » (CVE-2026-47139, CVE-2026-47209, CVE-2026-47135).
Des détails techniques supplémentaires sur chacune des vulnérabilités sont disponibles dans la section sécurité du site GitHub du projet.
Analyse
vm2 fait régulièrement la une depuis début mai, les attaquants parvenant sans cesse à contourner le sandbox. Récemment encore, les développeurs avaient corrigé deux autres failles de sécurité « critiques » (CVE-2026-26956, CVE-2026-45411). Les découvertes actuelles s'inscrivent donc dans une longue série de problèmes de sécurité affectant cette solution de sandboxing.
Pour le secteur de la sécurité électronique, cette évolution est pertinente car de nombreuses applications et services reposent sur Node.js – y compris dans l'environnement des systèmes de vidéosurveillance, des plateformes de contrôle d'accès ou des interfaces d'administration web pour les systèmes d'alarme. Un sandbox compromis peut, dans le pire des cas, permettre à des attaquants de prendre le contrôle du système hôte sous-jacent et ainsi potentiellement accéder à l'infrastructure de sécurité connectée.
Conseils pratiques
- Les administrateurs devraient mettre à jour immédiatement les systèmes concernés vers la version 3.11.4 afin de combler les failles corrigées.
- Les systèmes utilisant vm2 en combinaison avec des applications Node.js devraient faire l'objet d'une vérification de leur surface d'attaque, en particulier là où sont exploitées des interfaces d'administration web pour la sécurité électronique.
- Même si aucune exploitation active des vulnérabilités n'est connue à ce jour, l'application des correctifs ne devrait pas être différée, car avec un score CVSS de 10.0, le potentiel de dommage théorique est maximal.
- La section sécurité du site GitHub du projet vm2 devrait être consultée régulièrement pour repérer de nouveaux avis, des failles critiques étant déjà apparues à plusieurs reprises en peu de temps.
Perspectives
Compte tenu de la multiplication des failles de sécurité critiques depuis début mai, il est probable que la recherche en sécurité reste active sur vm2 et mette éventuellement au jour d'autres vulnérabilités. Pour les exploitants de systèmes reposant sur Node.js et vm2, cela signifie que des processus de gestion des correctifs devraient être établis de manière rigoureuse et régulièrement contrôlés. Aucun détail n'est encore connu concernant une éventuelle exploitation active des failles actuelles, raison pour laquelle la vigilance et l'application rapide des correctifs demeurent les mesures de protection les plus importantes à l'heure actuelle.
