Cosa è successo?
Nella sandbox vm2 dell'ambiente di runtime JavaScript open source Node.js sono state chiuse diverse vulnerabilità di sicurezza. Con la versione 3.11.4 gli sviluppatori hanno risolto complessivamente quattro vulnerabilità "critiche", ciascuna con il punteggio CVSS massimo possibile di 10.0: CVE-2026-47208, CVE-2026-47137, CVE-2026-47140 e CVE-2026-47131. Tutte e quattro le falle riguardano fughe dalla sandbox, con cui gli attaccanti possono compromettere i PC host con codice dannoso.
I dettagli
Il nucleo del problema risiede nel fatto che i processi process e inspector/promises non sono inclusi nella lista di blocco di Node.js. Gli attaccanti possono sfruttare questa lacuna per una fuga dalla sandbox. Inoltre, è possibile combinare diverse funzioni per raggiungere il sistema host tramite il costruttore TypeError.
Oltre alle quattro vulnerabilità critiche, la patch chiude un'ulteriore falla "critica" (CVE-2026-47210), che nel contesto di WebAssembly JSPI consente un'ulteriore fuga dalla sandbox. Gli sviluppatori hanno inoltre chiuso tre vulnerabilità con livello di minaccia "alto" (CVE-2026-47139, CVE-2026-47209, CVE-2026-47135).
Ulteriori dettagli tecnici sulle singole vulnerabilità sono disponibili nella sezione sicurezza del sito GitHub del progetto.
Contestualizzazione
vm2 è già finita ripetutamente sotto i riflettori sin dall'inizio di maggio, poiché gli attaccanti sono riusciti più volte a superare la sandbox. Solo di recente gli sviluppatori avevano chiuso altre due vulnerabilità "critiche" (CVE-2026-26956, CVE-2026-45411). Le scoperte attuali si inseriscono quindi in una lunga serie di problemi di sicurezza relativi a questa soluzione sandbox.
Per il settore della sicurezza tecnica questo sviluppo è rilevante, poiché molte applicazioni e servizi si basano su Node.js – anche nell'ambito di sistemi di gestione video, piattaforme di controllo accessi o interfacce di gestione web-based per sistemi di allarme. Una sandbox compromessa può, nel peggiore dei casi, consentire agli attaccanti di ottenere il controllo del sistema host sottostante, accedendo potenzialmente anche all'infrastruttura di sicurezza collegata.
Consigli pratici
- Gli amministratori dovrebbero aggiornare immediatamente i sistemi interessati alla versione 3.11.4 per chiudere le vulnerabilità risolte.
- I sistemi che utilizzano vm2 in combinazione con applicazioni Node.js dovrebbero essere verificati riguardo alla loro superficie d'attacco – in particolare dove vengono gestite interfacce web-based per la sicurezza tecnica.
- Anche se finora non è nota alcuna esecuzione attiva delle vulnerabilità, l'applicazione delle patch non dovrebbe essere rimandata, poiché con un valore CVSS di 10.0 il potenziale danno teorico è massimo.
- La sezione sicurezza del sito GitHub del progetto vm2 dovrebbe essere controllata regolarmente per nuovi advisory, poiché si sono già verificate più volte vulnerabilità critiche in rapida successione.
Prospettive
Considerato l'accumularsi di vulnerabilità critiche sin dall'inizio di maggio, è probabile che la ricerca sulla sicurezza di vm2 rimanga attiva e possa portare alla luce ulteriori vulnerabilità. Per gli operatori di sistemi basati su Node.js e vm2, ciò significa che i processi di gestione delle patch dovrebbero essere stabiliti in modo coerente e verificati regolarmente. Non sono ancora noti dettagli su un'eventuale sfruttamento attivo delle vulnerabilità attuali, motivo per cui la vigilanza e l'applicazione tempestiva delle patch rimangono le misure di protezione più importanti al momento.
