Nodejs

Node.js ออกอัปเดตความปลอดภัย 26.12.1, 24.22.1 และ 22.23.4 แก้ช่องโหว่ 10 รายการ ระดับสูง 4 รายการ ร้ายแรงที่สุดคือ CVE-2026-111497 การเขียนเกินขอบเขตใน Brotli decoder ที่อาจนำไปสู่ RCE อีก 2 รายการเป็นการข้ามการตรวจชื่อโฮสต์ในใบรับรอง TLS และอีกรายการทำให้ dns.resolve ตัดชื่อที่มีอักขระ NUL ยังมีปัญหาค่าสุ่มซ้ำใน startup snapshot และการข้าม Permission Model ผู้ดูแลควรอัปเดต rebuild อิมเมจ และรีสตาร์ตบริการ

ช่องโหว่ CVE-2026-23870 (CVSS 7.5) ใน React Server Components ทำให้ผู้โจมตีส่งคำขอ multipart POST ที่มีการอ้างอิง $K จำนวนมาก บังคับเซิร์ฟเวอร์เปรียบเทียบสตริงแบบกำลังสองจนเธรด event loop ของ Node.js ค้าง คำขอขนาดราว 900 KB สร้างการตรวจราว 100 ล้านครั้ง การแยกข้อมูลเกิดก่อนการตรวจสิทธิ์ของ Server Action จึงอาจไม่ต้องล็อกอิน กระทบ React 19.0 ถึง 19.2 ที่ใช้ใน Next.js แก้แล้วในเวอร์ชัน 19.0.6, 19.1.7 และ 19.2.6

ทีม Symantec Threat Hunter เปิดเผยว่าผู้โจมตีหลายกลุ่มหันมาใช้ Node.js ซึ่งเป็นเครื่องมือนักพัฒนาที่มีลายมือชื่อถูกต้อง เป็นช่องทางรันโค้ดอันตรายในการโจมตีหน่วยงานรัฐ บริษัทเทคโนโลยี และโรงแรมตั้งแต่เดือนกุมภาพันธ์ 2569 เสน่ห์ของเทคนิคนี้คือโค้ดอันตรายอยู่ในสคริปต์ที่ถูกตีความ ไม่ใช่ในไฟล์ไบนารี จึงเลี่ยงการตรวจจับด้วยลายเซ็นได้ กรณีหนึ่งผู้โจมตีโหลดตัวติดตั้ง Node.js จากเว็บทางการมาใช้ แล้วดึงคำสั่งผ่าน EtherHiding บนบล็อกเชน

นักวิจัยจากบริษัท Endor Labs เปิดเผยช่องโหว่วิกฤตใน isolated-vm ไลบรารีของ Node.js ที่ใช้รันจาวาสคริปต์ที่ไม่น่าเชื่อถือใน V8 Isolate ช่องโหว่ GHSA-864f-rcv7-6rh4 เป็น type confusion ในคลาส ExternalCopy ที่ทำให้โค้ดในแซนด์บ็อกซ์เขียนทับหน่วยความจำของโปรเซสหลักได้ ผลกระทบต่ำสุดคือทำให้โปรเซสล่ม สูงสุดคือยึดการควบคุมการทำงานของโปรเซสหลักจนอาจนำไปสู่การรันโค้ดจากระยะไกล กระทบทุกเวอร์ชันถึง 7.0.0 แก้แล้วใน 6.2.0 และ 7.0.1