티오리 تعلن دليل طوارئ لثغرة Node2Shell في Node.js

أعلنت شركة 티오리 الأمنية في 26 أكتوبر 2026 أنها أكملت التحقق الداخلي من ثغرة Node2Shell الأمنية في بيئة تشغيل Node.js، والمعروفة بالمعرّف CVE-2026-111497، ونشرت دليلاً إرشادياً للطوارئ موجهاً للشركات.

وبحسب ما أوردته dailysecu.com، تنشأ الثغرة من خلل في كتابة خارج الحدود في وحدة فك ضغط Brotli داخل Node.js. ويمكن للمهاجم، دون مصادقة، إرسال بيانات Brotli معدّلة للتسبب في تعطّل الخادم أو كشف محتويات الذاكرة أو تنفيذ تعليمات برمجية عن بُعد.

وصنّف فريق Node.js الرسمي خطورة الثغرة بأنها «عالية». وتشمل الإصدارات المتأثرة خطوط Node.js 22.x و24.x و26.x التي لم تُطبَّق عليها أحدث الترقيعات الأمنية.

وأصدر فريق أمن Node.js ترقيعات أمنية في الإصدارات 22.23.4 و24.22.1 و26.12.1 وما فوقها، ودعا إلى التحديث إليها.

وقدّمت 티오리 إجراءات تخفيف مؤقتة على مستوى وكيل عكسي مثل Nginx أو على مستوى التطبيق. كما تشغّل الشركة خدمة فحص مجانية عبر الإنترنت باسم nodejsguard.io تُدخل فيها عنوان الخدمة فقط للتحقق من مدى تعرضها للثغرة.

ويمكن الاطلاع على التحليل التفصيلي ودليل الفحص في المدونة التقنية الرسمية لـ Xint.