Node.js patrí medzi významné technológie používané pri vývoji webových aplikácií, API, real-time služieb a firemných systémov. Bezpečnostná chyba v jeho internom dekodéri kompresie však môže predstavovať vážne riziko pre aplikácie, ktoré spracúvajú nedôveryhodné dáta.
Dňa 21. októbra 2026 zverejnil vývojový tím Node.js bezpečnostné aktualizácie pre podporované verzie 22.x, 24.x a 26.x. Opravujú spolu desať bezpečnostných zraniteľností. Najzávažnejšou z nich je CVE-2026-111497, ktorá sa týka spracovania Brotli kompresie a môže viesť až k vzdialenému spusteniu kódu na serveri.
Čo je zraniteľnosť CVE-2026-111497?
Chyba sa nachádza v dekodéri Brotli, ktorý je súčasťou Node.js. Brotli je kompresný algoritmus používaný na zmenšovanie objemu prenášaných dát, napríklad pri komunikácii medzi webovými aplikáciami a servermi.
Pri spracovaní špeciálne pripravených komprimovaných dát môže dekodér nesprávne pracovať s pamäťou. Výsledkom môže byť pád procesu, únik údajov z pamäte alebo za určitých okolností vzdialené spustenie kódu (Remote Code Execution – RCE).
Zraniteľnosť je evidovaná pod označením CVE-2026-111497. Vývojový tím Node.js ju klasifikuje ako závažnú s úrovňou High. Podľa hodnotenia CVSS 4.0 dosahuje skóre 9,2 z 10, čo predstavuje kritickú úroveň rizika.
Riziko závisí aj od toho, či aplikácia spracúva nedôveryhodné Brotli dáta a akým spôsobom využíva príslušné funkcie Node.js.
Ktorých systémov sa problém týka?
Zraniteľnosť sa týka verzií Node.js z hlavných vetiev 22.x, 24.x a 26.x, ktoré uvádza oficiálne bezpečnostné oznámenie.
Opravené vydania sú:
- Node.js 22.23.4
- Node.js 24.22.1
- Node.js 26.12.1
Pri používaní novšej verzie v rámci príslušnej vetvy je potrebné overiť, či obsahuje bezpečnostnú opravu. Staršie nepodporované vetvy Node.js nemožno považovať za bezpečné len preto, že pre ne nie je dostupná aktualizácia.
Problém sa môže týkať napríklad:
- webových aplikácií a backendových služieb vytvorených v Node.js,
- API, ktoré prijímajú a spracúvajú požiadavky od externých klientov,
- aplikácií používajúcich kompresiu Brotli prostredníctvom modulu
node:zlib, - služieb a integračných procesov, ktoré spracúvajú nedôveryhodné komprimované dáta.
Samotné používanie Node.js automaticky neznamená, že aplikácia je priamo zneužiteľná. Rozhodujúca je konkrétna verzia runtime a spôsob spracovania dát.
Nejde len o jednu bezpečnostnú chybu
Bezpečnostné aktualizácie z 21. októbra 2026 opravujú aj ďalšie nedostatky. Patria medzi ne chyby pri overovaní TLS certifikátov, spracovaní DNS názvov, opätovnom používaní HTTP spojení a generovaní náhodných hodnôt v špecifických scenároch.
Niektoré z týchto chýb môžu za určitých okolností ovplyvniť správnosť overovania identity vzdialeného servera alebo spracovanie sieťovej komunikácie.
Preto odporúčame nerealizovať iba izolovanú opravu jednej chyby. Správcovia by mali nasadiť kompletnú bezpečnostnú aktualizáciu príslušnej podporovanej vetvy Node.js.
Čo by mali správcovia serverov urobiť?
Odporúčame postupovať v niekoľkých krokoch:
1. Zistiť používanú verziu Node.js
Na serveri spustite:
node -vAk aplikácia používa viacero runtime prostredí, kontajnerov alebo samostatných služieb, treba skontrolovať každé z nich. Verzia nainštalovaná v termináli nemusí byť totožná s verziou používanou produkčnou aplikáciou.
2. Aktualizovať Node.js
Použite oficiálnu bezpečnostnú aktualizáciu zodpovedajúcu používanej vetve. Pri inštalácii cez systémové balíky, správcu verzií alebo Docker je potrebné aktualizovať správny zdroj a následne obnoviť príslušné procesy či kontajnery.
3. Overiť funkčnosť aplikácie
Po aktualizácii skontrolujte logy, API, integračné služby a ostatné závislé procesy. Pri produkčných systémoch odporúčame aktualizáciu vykonať kontrolovane, s pripravenou možnosťou obnovy a overením kompatibility.
4. Skontrolovať aj nepodporované verzie
Ak aplikácia beží na staršej vetve Node.js, ktorá už nedostáva bezpečnostné opravy, treba naplánovať prechod na podporovanú verziu. Samotná aktualizácia aplikačných balíkov cez npm nemusí odstrániť zraniteľnosť v samotnom Node.js runtime.
5. Nezabudnúť na monitoring
Bezpečnostné aktualizácie by mali byť súčasťou pravidelnej správy serverov. Dôležité je sledovať dostupnosť nových opráv, stav aplikácií a neobvyklé chyby v produkčnom prostredí.
Ako pristupuje k bezpečnosti NANOCOM?
V NANOCOM považujeme bezpečnosť serverovej infraštruktúry za priebežný proces, nie za jednorazovú úlohu.
Sledujeme bezpečnostné upozornenia, vyhodnocujeme ich dopad na spravované prostredia a podľa konkrétnej konfigurácie, kompatibility a dostupnosti opráv zabezpečujeme aktualizácie a kontrolu funkčnosti služieb.
Pri kritických zraniteľnostiach je dôležité konať rýchlo, ale zároveň tak, aby bezpečnostná oprava nenarušila prevádzku firemných aplikácií a systémov.
Potrebujete preveriť bezpečnosť svojho servera alebo aplikácie?
NANOCOM poskytuje hosting, správu serverovej infraštruktúry, vývoj webových aplikácií a IT služby pre firmy. Pomôžeme vám identifikovať riziká, preveriť používané technológie a nastaviť vhodný postup aktualizácií.
Kontaktujte nás na info@nanocom.sk alebo navštívte www.nanocom.sk.
Zdroje
- Oficiálne bezpečnostné oznámenie Node.js: Wednesday, October 21, 2026 Security Releases
- Oficiálna stránka Node.js: nodejs.org