Auf den Punkt: Node.js schließt mit vm2 3.11.4 vier kritische Sicherheitslücken mit CVSS-Höchstwertung 10, über die Angreifer aus der Sandbox ausbrechen und Code auf dem Hostsystem ausführen können.
Die vm2-Sandbox von Node.js weist erneut mehrere Schwachstellen auf, über die Angreifer aus der isolierten Umgebung ausbrechen und Schadcode auf dem Hostsystem ausführen können. Version 3.11.4 schließt diese Lücken, darunter vier mit dem maximalen CVSS-Wert von 10.
Die Entwickler der Open-Source-JavaScript-Laufzeitumgebung Node.js haben in Version 3.11.4 der vm2-Sandbox mehrere Sicherheitslücken geschlossen. Vier davon gelten als „kritisch“ und erreichen den höchstmöglichen CVSS-Score von 10 von 10: CVE-2026-47208, CVE-2026-47137, CVE-2026-47140 und CVE-2026-47131. Ursache ist unter anderem, dass die Prozesse process sowie inspector/promises nicht auf der Sperrliste von Node.js stehen. Angreifer können darüber sowie durch Kombination verschiedener Funktionen mit dem TypeError-Constructor aus der Sandbox ausbrechen und Code im Hostsystem ausführen.
Eine weitere kritische Lücke, CVE-2026-47210, betrifft den Kontext von WebAssembly JSPI und ermöglicht ebenfalls einen Sandboxausbruch. Zusätzlich haben die Entwickler drei Schwachstellen mit dem Bedrohungsgrad „hoch“ geschlossen: CVE-2026-47139, CVE-2026-47209 und CVE-2026-47135. Details zu den einzelnen Lücken sind im Security-Bereich des GitHub-Repositories des Projekts dokumentiert.
Für Betreiber von Node.js-Umgebungen, die vm2 zur Isolation von nicht vertrauenswürdigem Code einsetzen, bedeutet dies eine unmittelbare Handlungsaufforderung: Ein erfolgreicher Ausbruch aus der Sandbox hebelt genau den Schutzmechanismus aus, für den vm2 eingesetzt wird, und erlaubt vollen Codezugriff auf das Hostsystem. Da bereits seit Anfang Mai wiederholt kritische Lücken in vm2 bekannt wurden – zuletzt CVE-2026-26956 und CVE-2026-45411 – zeichnet sich ein Muster ab, das die grundsätzliche Eignung von vm2 als Sicherheitsgrenze infrage stellt.
Von den Entwicklern liegen bislang keine Hinweise auf aktive Ausnutzung der aktuellen Schwachstellen vor. Admins sollten dennoch zeitnah auf Version 3.11.4 aktualisieren und prüfen, ob vm2 in produktiven Umgebungen für die Ausführung nicht vertrauenswürdigen Codes eingesetzt wird.
Quelle: www.heise.de · Erschienen 20. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.2.