CVE-2026-111497
Sfruttamento noto · CISA KEV
Patch Microsoft: Release Notes.
Patch disponibile KB5133964 Scarica →
Data di correzione federale CISA 10 nov
Vulnerabilità ed exploit
Qualys ha rilevato che solo 42.000 delle 3,3 milioni di installazioni Node.js osservate hanno ricevuto la patch per CVE-2026-111497. Altre 1,7 milioni usano versioni fuori supporto, che non riceveranno una correzione sulla stessa linea.
La falla è nel decoder Brotli, che decomprime i dati inviati all’applicazione. Un input compresso costruito da remoto può far traboccare il buffer del decoder e corrompere la memoria prima che l’applicazione gestisca i dati, consentendo l’esecuzione remota di codice. Le versioni corrette sono 22.23.4, 24.22.1 e 26.12.1.
I controlli temporanei possono ridurre l’esposizione, ma non chiudono la falla. I runtime inclusi in container, applicazioni, eseguibili autonomi e funzioni serverless possono sfuggire ai controlli delle dipendenze; sulle linee fuori supporto, la protezione resta incompleta finché il runtime non passa a una versione supportata.
1 fonte · 4 ore fa
Sfruttamento noto · CISA KEV
Patch Microsoft: Release Notes.
Patch disponibile KB5133964 Scarica →
Data di correzione federale CISA 10 nov
Qualys
Can’t Patch Node.js Yet? Build a Stopgap with the Controls You Own | Qualys
Node.js has fixed CVE-2026-111497, a Brotli decoder flaw that can permit remote code execution, in 22.23.4, 24.22.1, and 26.12.1, but upgrading at scale is slow.
originalePart of the PlainSec briefing for 2026-10-28
Every edition of this story: 1,7 milioni di installazioni Node.js sono su linee senza patch