Bezbednosni alarm za Node.js: Otkriveno 10 ranjivosti, jedna omogućava potencijalno izvršavanje zlonamernog koda

Razvojni tim Node.js platforme objavio je 21. oktobra 2026. godine hitna bezbednosna ažuriranja zbog deset otkrivenih ranjivosti. Najozbiljnija među njima može, pod određenim uslovima, omogućiti izvršavanje zlonamernog koda na serveru. Roster Soft upozorava administratore i vlasnike poslovnih aplikacija da provere svoje Node.js instalacije i primene dostupne ispravke.

Zašto je ovo važno?

Node.js predstavlja jednu od najzastupljenijih tehnologija za razvoj savremenih internet aplikacija, API servisa i poslovnih platformi.

Koristi se u sistemima za elektronsku trgovinu, rezervacije, finansijske transakcije, korisničke naloge, komunikaciju i obradu podataka.

Zbog toga bezbednosni propusti u Node.js okruženju mogu imati posledice koje prevazilaze pojedinačan veb-sajt.

Novo bezbednosno ažuriranje obuhvata deset ranjivosti različitog stepena ozbiljnosti. Pojedini propusti odnose se na obradu komprimovanih podataka, proveru TLS sertifikata, DNS zahteve i pristup sistemskim resursima.

Posebno opasna ranjivost – CVE-2026-111497

Najviše pažnje privukao je propust u Brotli dekoderu, komponenti koja obrađuje komprimovane podatke.

Ranjivost može izazvati nepravilan upis u memoriju, što otvara mogućnost za prekid rada aplikacije, a u odgovarajućim okolnostima i udaljeno izvršavanje koda (RCE).

Potencijalne posledice uključuju:

• Neovlašćeno izvršavanje koda na serveru.
• Prekid rada poslovnih aplikacija.
• Kompromitovanje podataka dostupnih pogođenom procesu.
• Narušavanje dostupnosti API servisa.
• Finansijske i reputacione posledice po kompanije.

Rizik je naročito važan kod aplikacija koje obrađuju komprimovane podatke iz nepouzdanih izvora.

To ne znači da je svaka Node.js aplikacija automatski podložna napadu. Stvarna izloženost zavisi od načina korišćenja ranjivih komponenti.

Koje verzije treba ažurirati?

Node.js tim objavio je sledeća bezbednosna izdanja:

Node.js grana	Ispravljena verzija
Node.js 22	22.23.4
Node.js 24	24.22.1
Node.js 26	26.12.1

Preporučuje se instalacija odgovarajuće ispravljene ili novije podržane verzije.

Posebnu pažnju treba posvetiti serverima na kojima istovremeno postoji više Node.js instalacija, kao i aplikacijama koje koriste Docker, PM2, NVM ili posebne sistemske servise.

Kako proveriti da li je server ugrožen?

Administratori Linux servera mogu proveriti osnovnu Node.js verziju komandom:

node -v

Međutim, ovaj rezultat nije dovoljan za potpunu proveru.

Na istom serveru različite aplikacije mogu koristiti različite Node.js verzije, uključujući one unutar Docker kontejnera.

Zato je potrebno identifikovati stvarne runtime verzije svih aktivnih aplikacija.

Besplatan alat: Roster Node Security Audit

Kompanija Roster Soft pripremila je besplatan dijagnostički alat namenjen administratorima Linux servera.

Roster Node Security Audit omogućava početnu proveru Node.js okruženja, bez instalacije WordPress-a, PHP-a ili dodatnih Node.js paketa.

Alat pruža:

• Proveru Node.js verzije dostupne u trenutnom sistemskom okruženju.
• Upoređivanje sa bezbednosnim izdanjima od 21. oktobra 2026.
• Pregled vidljivih Node.js procesa.
• Opcioni prikaz aktivnih Docker kontejnera.
• Generisanje JSON izveštaja.
• Preporuku kada je potrebno ažuriranje.

Alat je besplatan, ne zahteva registraciju i ne menja postojeću konfiguraciju servera.

Važno: Roster Node Security Audit predstavlja pomoćni dijagnostički alat, a ne bezbednosnu zakrpu. Ne proverava automatski sve Node.js instalacije unutar kontejnera i ne potvrđuje odsustvo drugih ranjivosti.

Jedino odgovarajuće ažuriranje Node.js okruženja, uz proveru svih izvršnih instanci, može rešiti navedene ranjivosti.

Redovno održavanje servera nije opcija, već potreba

Bezbednost savremenih aplikacija zahteva stalno praćenje ažuriranja programskih jezika, izvršnih okruženja, biblioteka i operativnih sistema.

Čak i kvalitetno razvijena aplikacija može biti izložena riziku ukoliko koristi zastarele sistemske komponente.

Roster Soft pruža usluge razvoja, administracije i održavanja poslovnih aplikacija, API servisa i serverske infrastrukture.

Roster Soft – Pouzdan razvoj i bezbednost digitalnih sistema.

https://roster.rs