Vulnerabilidade no Node.js permite execução remota de código através de dados comprimidos

Uma falha de segurança identificada como Node2Shell (CVE-2026-111497) afeta aplicações desenvolvidas em Node.js, permitindo que invasores executem código arbitrário em servidores. O problema está no decodificador Brotli — um algoritmo de compressão do Google amplamente usado na web — e ocorre quando ele processa dados malformados. Durante o processamento, o decodificador pode continuar operando em estado interno inválido, causando gravação de dados fora dos limites da memória reservada e, em casos exploráveis, execução de código controlado pelo atacante. Pesquisadores da Imperva confirmaram que a vulnerabilidade é real: conseguiram executar código malicioso em uma instalação oficial do Node.js sem modificações, usando dados Brotli manipulados.

O Node.js lançou correções em 21 de outubro de 2026 para as versões 22, 24 e 26 da plataforma. Desenvolvedores e administradores devem atualizar imediatamente ambientes de produção, especialmente servidores que usam o framework Express ou processam dados comprimidos recebidos de fontes não confiáveis. Até a data da pesquisa, não havia relatos de exploração ativa em ataques reais, mas a existência de uma prova de conceito funcional torna o risco imediato.