Node.js تطلق تحديثات أمنية لمعالجة ثغرة Node2Shell الخطيرة
أصدر فريق Node.js إصدارات مصلّحة هي 22.23.4 و24.22.1 و26.12.1 بعد تقييم الثغرة بدرجة عالية الخطورة.
أصدر فريق Node.js في 21 أكتوبر 2026 تحديثات أمنية لمعالجة ثغرة تنفيذ تعليمات برمجية عن بُعد تُعرف باسم Node2Shell وتحمل الرقم CVE-2026-111497، وصنّفها الفريق بدرجة عالية الخطورة، حسب dailysecu.com.
تقع الثغرة في خاصية فك ضغط Brotli داخل Node.js، ويمكن أن تؤدي إلى كتابة في الذاكرة خارج حدودها. وأثبت باحثو شركة Imperva إمكانية استغلالها لتنفيذ تعليمات برمجية عن بُعد في بيئة حقيقية.
ووفق ما أورده المصدر، فإن خدمات الويب المبنية على Express 5 قد تتأثر تلقائياً بالثغرة حتى لو لم يستخدم المطورون Brotli بشكل مباشر. كما قد تكون دالة fetch() المدمجة في Node.js ومكتبات مثل axios عرضة للخطر عند التعامل مع ردود مضغوطة قادمة من خوادم خارجية.
الإصدارات المصلّحة هي 22.23.4 و24.22.1 و26.12.1. وبعد التحديث يجب إعادة تشغيل عمليات Node.js وإعادة نشر صور الحاويات كي يسري الإصلاح.
وأفاد المصدر بأن الثغرة اكتشفها وأبلغ عنها Khai Tran وSylvie Mayer من OpenAI Codex Security.
سياق أوسع
يأتي هذا الإعلان بعد الكشف في أكتوبر 2025 عن ثغرة أمنية حرجة تُعرف باسم PHP2Shell في لغة PHP.
أسئلة سريعة
ما هي ثغرة Node2Shell؟
ثغرة تنفيذ تعليمات برمجية عن بُعد عالية الخطورة في Node.js تحمل الرقم CVE-2026-111497، وتقع في خاصية فك ضغط Brotli.
ما الإصدارات المصلّحة من Node.js؟
22.23.4 و24.22.1 و26.12.1.
ماذا يجب فعله بعد تحديث Node.js؟
إعادة تشغيل عمليات Node.js وإعادة نشر صور الحاويات.