Node.js закрыл 16 уязвимостей, включая утечку TLS-ключей через HTTPS-серверы
Разработчики Node.js выпустили обновления, которые закрывают 16 уязвимостей, семь из них высокого уровня опасности. Самая серьёзная, CVE-2026-123864, позволяет неаутентифицированному клиенту читать память других соединений HTTPS-сервера, включая закрытые TLS-ключи.
Главное в цифрах
- Количество исправленных уязвимостей: 16, из них семь высокого уровня опасности
- Исправленные версии: 22.23.5, 24.22.3, 26.13.1
- Уязвимость CVE-2026-123864 затрагивает HTTPS-серверы во всех поддерживаемых ветках
Исправления вышли для всех поддерживаемых веток: 22.23.5, 24.22.3 и 26.13.1. Уязвимость CVE-2026-123864 затрагивает все три ветки. Для эксплуатации нужен обработчик, который вызывает res.flushHeaders() до того, как тело запроса полностью получено, а затем res.end() с данными. Чтобы прочитать утёкшую память, также нужен маршрут, который возвращает или сохраняет тело запроса. Простые HTTP-серверы на node:http не затронуты.
Другие ошибки тоже серьёзны. CVE-2026-123863 позволяет вывести из строя HTTP/2-сервер в ветках 24.x и 26.x: для этого достаточно стандартного HTTP/2-сервера, который отвечает до полного получения тела запроса. Сбой работает и через TLS, и без шифрования. CVE-2026-123866 затрагивает все три ветки и может привести к утечке фрагментов памяти, в том числе ответов, предназначенных другим соединениям.
Что делать с устаревшими версиями
Версии 20.x и 25.x уже не поддерживаются, и исправлений для них не будет. В бюллетене нет обходного пути, поэтому обновление остаётся единственным способом закрыть уязвимости. Атак с использованием этих ошибок пока не зафиксировано. Также в бюллетене не сказано, нужно ли серверам, которые попадали под условия уязвимости HTTPS, менять TLS-ключи и другие секреты после обновления.
Пять из ошибок, включая CVE-2026-123863 и CVE-2026-123864, нашёл Крис Рольф совместно с Claude и Anthropic Research.
