Критическая ошибка в песочнице VM2 позволяет злоумышленникам выполнять код на хостах.

[zender]

Критическая уязвимость в популярной библиотеке Node.js для работы с изолированной средой vm2 позволяет обойти песочницу и выполнить произвольный код в хост-системе.


Уязвимость отслеживается под номером CVE-2026-26956 и подтверждено, что она затрагивает версию vm2 3.10.4, хотя более ранние версии также могут быть уязвимы. Опубликован код эксплойта, демонстрирующий работоспособность уязвимости (PoC).


В уведомлении о безопасности сопровождающий проекта заявляет, что проблема затрагивает только среды с Node.js 25 (подтверждено на Node.js 25.6.1), в которых включена обработка исключений WebAssembly и поддержка JSTag.


vm2 — это библиотека Node.js с открытым исходным кодом, используемая для выполнения ненадежного кода JavaScript в ограниченной изолированной среде. Она широко используется онлайн-платформами для программирования, инструментами автоматизации и SaaS-приложениями, которые выполняют предоставленные пользователем скрипты.


Библиотека пытается изолировать код, находящийся в изолированной среде, от хост-системы и блокировать доступ к конфиденциальным API Node.js, таким как процессы и файловая система.

vm2 широко используется, его еженедельно скачивают более 1,3 миллиона раз через npm (Node Package Manager), стандартный менеджер пакетов командной строки для Node.js.


Уязвимость CVE-2026-26956 связана с ошибочной обработкой библиотекой исключений, возникающих при переходе между изолированной средой и хостом.

В рекомендациях поясняется , что vm2 обычно использует средства защиты на уровне JavaScript, которые предотвращают ошибки на уровне хоста, и прокси-серверы, которые инкапсулируют объекты, работающие в разных контекстах, и всё это полностью выполняется в рамках JavaScript.


Однако обработка исключений WebAssembly может перехватывать ошибки JavaScript на более низком уровне внутри движка V8 от Google, обходя основанные на JavaScript средства защиты vm2.


Запустив специально сформированную ошибку TypeError с помощью преобразования символа в строку, злоумышленники могут добиться утечки объекта ошибки на стороне хоста обратно в песочницу без предварительной проверки со стороны vm2.


Поскольку утечка объекта происходит из среды хоста, злоумышленники могут использовать цепочку его конструкторов для восстановления доступа к внутренним механизмам Node.js, таким как объект процесса, что в конечном итоге позволит выполнять произвольные команды в системе хоста.


В уведомлении о безопасности, подготовленном разработчиком, также содержится эксплойт PoC, демонстрирующий удаленное выполнение кода на хост-машине.


Пользователям vm2 рекомендуется обновиться до версии 3.10.5 или более поздней ( последняя версия — 3.11.2 ), чтобы снизить риск эксплуатации уязвимости CVE-2026-26956. как можно скорее.

В начале года vm2 пострадала от еще одной критической уязвимости, позволяющей выйти из песочницы и выполнить произвольный код в базовой хост-системе. Эта уязвимость отслеживается как CVE-2026-22709 .


Ранее обнаруженные уязвимости, позволяющие обойти песочницу и затрагивающие ту же библиотеку, включают CVE-2023-30547 , CVE-2023-29017 и CVE-2022-36067 , что отражает сложность безопасной изоляции ненадежного кода в изолированных средах JavaScript.