Node.js opravuje RCE v Brotli (CVE-2026-111497) a chyby TLS: co udělat

Projekt Node.js vydal ve středu 21. října 2026 bezpečnostní verze 26.12.1, 24.22.1 a 22.23.4, které opravují deset zranitelností, z toho čtyři s vysokou závažností. Nejvážnější je CVE-2026-111497, zápis mimo paměť v dekodéru Brotli zabudovaném do Node.js, který podle projektu umožňuje vzdálené spuštění kódu. Vedle ní vydání opravuje tři chyby v ověřování TLS certifikátů, ořezávání DNS dotazů s nulovým znakem a blokuje certifikáty kompromitované autority eMudhra. Den po kritických chybách v PHP je to druhé velké vydání v týdnu, které se týká většiny webových serverů, a stejně jako u PHP platí, že jedinou úplnou opravou je aktualizace. Tenhle článek shrnuje, co je oficiálně potvrzené, kdo je skutečně vystavený a co má udělat kdo.

Co se stalo: deset chyb, čtyři vysoké, žádné CVSS skóre

Node.js vydání předoznámil 14. října s jedinou informací: nejvyšší závažnost bude „high". Ve středu 21. října v 10:00 UTC vznikly tagy všech tří verzí a krátce po 12:00 UTC projekt stejný příspěvek doplnil o seznam chyb. Oficiální text je stručný: ke každé zranitelnosti uvádí název, postižené větve a poděkování, nic víc. Žádné CVSS skóre, žádný vektor, žádný popis podmínek zneužití. Záznamy na CVE.org byly v době psaní stále ve stavu „reserved" a NVD je neměla. Čísla, která kolují po internetu, tedy nepocházejí od Node.js.

Rozdělení podle závažnosti: čtyři high (Brotli, dvě obejití TLS, DNS), tři medium (keep-alive socket, DNS SAN pro IP adresy, náhodná čísla ve snapshotech) a tři low (ZIP, dvakrát Permission Model). Osm z deseti chyb nahlásili externí výzkumníci přes HackerOne, hlášení zatím nejsou veřejná. Opravy psali členové core týmu James Snell, Matteo Collina, Antoine du Hamel, Filip Skokan a Rafael Gonzaga. Commity byly do veřejných větví přidány 20. října odpoledne, den před vydáním, takže kdo sledoval repozitář, viděl obsah oprav s předstihem.

Vydání kromě CVE aktualizuje i závislosti: c-ares 1.34.9 ve všech větvích, OpenSSL 3.5.9 ve 24.x a 22.x, SQLite 3.53.4 ve 22.x, undici ve všech větvích a kořenové certifikáty z NSS 3.131.1. Nic z toho není označené jako breaking change; jde o patch verze.

CVE-2026-111497: Brotli dekodér zapisuje mimo paměť a volá ho víc kódu, než si myslíte

Chyba není v kódu Node.js samotného, ale v knihovně Brotli od Googlu, kterou Node.js přibaluje a vystavuje přes modul zlib. Oprava v Node.js je cherry-pick upstream commitu „Detect and report invalid stream earlier" od Evgenije Ključnikova z Googlu, datovaného 27. února 2026. Oprava tedy ležela na hlavní větvi Brotli osm měsíců, než ji někdo označil za bezpečnostní. Mechanismus podle analýzy diffu: pokud komprimovaný proud deklaruje jediný typ bloku a pak přesto požádá o přepnutí bloku, dekódování na rychlé cestě tento selhavší krok ignorovalo a pokračovalo, což vedlo k zápisu mimo přidělenou paměť. Opravený dekodér vrací novou chybu BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH a zastaví se. Google ve stejný den vydal Brotli 1.2.1, 1.1.1 a 1.0.10 s jednořádkovou poznámkou o CVE-2026-111497; vlastní advisory ani issue repozitář nemá.

Chybu nahlásil Matteo Collina, správce undici a Fastify, opravu připravil Antoine du Hamel. O tom, jak daleko se dá dostat, Node.js mlčí. Vercel ve svém bulletinu píše, že výzkumníci předvedli únik paměti procesu i spuštění příkazů na neopravených 22.x, 24.x a 26.x, s oprávněním procesu Node.js. Zneužití v praxi nikdo nehlásí a katalog CISA KEV chybu neobsahuje.

Důležitější než mechanismus je otázka, kdo vlastně Brotli dekóduje. Node.js sám od sebe nic nedekomprimuje, ale váš kód nebo knihovny ano, často aniž o tom víte:

1. Zabudovaný fetch() (undici) automaticky rozbaluje odpovědi s hlavičkou Content-Encoding: br. Stačí, aby vaše aplikace stáhla data ze serveru, který ovládá útočník. Poslat Accept-Encoding: identity nepomůže, zlý server může odpovědět Brotli i tak.
2. axios, got i node-fetch odpovědi dekomprimují ve výchozím nastavení.
3. Express 5 používá body-parser 2.x, který od verze 2.0.0 umí Brotli a má inflate: true jako výchozí. Útočník tedy může poslat komprimované tělo požadavku. Express 4 s body-parserem 1.x Brotli nepodporuje.
4. Přímé volání zlib.brotliDecompress(), brotliDecompressSync() nebo createBrotliDecompress() na cizí data, typicky v proxy, CDN logice nebo při zpracování uploadů.
5. Self-hosted Next.js: podle Vercelu optimalizace obrázků Brotli odpovědi neblokuje.

Kdo Brotli jen komprimuje, vstupní bod nemá. A pozor na build: Debian a Homebrew staví Node.js s přepínačem --shared-brotli, tedy proti systémové knihovně. Tam opravu nepřinese nová verze Node.js, ale balíček libbrotli. Na Homebrew byl brotli 1.2.1 k dispozici dřív než opravený node. Stejná chyba se týká i dalších projektů s vlastní kopií Brotli: Bun měl backport v době psaní stále v otevřeném pull requestu, nginx modul ngx_brotli aktualizoval submodul 22. října, Chrome opravený kód obsahuje už od března.

TLS a DNS: obejití kontroly hostname, ne klasický MITM na každé spojení

Zpráva, že chyby „umožňují MITM", potřebuje upřesnění. Tři chyby v TLS mají společný vzor: IP adresa zapsaná neobvyklým způsobem se nepozná jako IP adresa, kontrola certifikátu spadne do větve pro doménová jména a certifikát vydaný na jméno pak ověří spojení na IP adresu. Útočník ale musí mít certifikát od autority, které klient věří, s položkou DNS: ve tvaru IP adresy. To není triviální, i když po říjnovém kompromitování eMudhry je to méně teoretické než dřív.

CVE-2026-106069 (high, všechny větve): host se na IP adresu změní až po normalizaci. Příklad z testů opravy: url.domainToASCII() přečte 0127.0.0.1 jako oktalový zápis a vrátí 87.0.0.1, zatímco systémový resolver přes dns.lookup() vrátí 127.0.0.1. Certifikát s DNS:87.0.0.1 tak ověří spojení na localhost. Oprava od Mattea Colliny odmítá hosty, které se stanou IP adresou až po domainToASCII(). Stejný commit řeší i CVE-2026-106072 (medium), kdy nekanonická IPv4 adresa nechá DNS SAN ověřit IP koncový bod.

CVE-2026-105483 (high, jen 24.x a 26.x): IP adresa zapsaná plnošířkovými číslicemi, tedy １２７.0.0.1, prošla proti certifikátu pro 127.0.0.1. Jde o regresi a commit Jamese Snella ji popisuje slovy „chyba nízké závažnosti, která se nezneužívá snadno, kontrola hostname se prostě dá obejít". Projekt ji přesto označil jako high, což je jeden z rozporů tohoto vydání.

CVE-2026-105482 (high, všechny větve): dns.resolve*() předávalo jména obsahující nulový znak knihovně c-ares, která jako C kód čte řetězec jen po první nulu. Z dotazu example.com\0.trusted.corp tak vznikl dotaz na example.com. Pokud aplikace nejdřív validuje, že jméno končí na důvěryhodnou doménu, a pak ho pošle do resolveru, validuje něco jiného, než se skutečně zeptá. Opravená verze vyhodí ERR_INVALID_ARG_VALUE.

K TLS patří ještě jedna změna bez čísla CVE. Mozilla dostala 17. října hlášení, že byly kompromitovány privátní klíče osmi mezilehlých certifikátů autority eMudhra (emSign), a prohlížeče je během 17. až 19. října zablokovaly. Node.js reaguje ve všech třech verzích: řetězce obsahující blokované veřejné klíče odmítá s chybou CERT_REVOKED a kořenové úložiště z NSS 3.131.1 už kořen emSign ECC Root CA - G3 neobsahuje. Pokud vaše aplikace volá API, jehož certifikát vede k eMudhře, po aktualizaci spojení selže. Správná reakce je tlačit na provozovatele API, ne vypínat rejectUnauthorized.

Zbytek vydání: keep-alive, náhodná čísla ve snapshotech, Permission Model

Z prostředních tří stojí za pozornost CVE-2026-106074. Kdo distribuuje aplikaci jako single executable (SEA) nebo používá startovací snapshoty, má v binárce zapečené cache entropie, takže každý spuštěný proces generuje stejná UUID a stejná „náhodná" čísla. Aktualizace runtime nestačí, tyto artefakty je potřeba znovu sestavit. Keep-alive chyba se týká HTTP agenta, který mohl přiřadit požadavku odpověď, která na socketu ležela ještě před jeho odesláním. Chyby v Permission Modelu se vás netýkají, pokud --permission nepoužíváte.

Koho se to týká: podporované větve dostaly opravu, 20.x a 25.x ne

Opravu dostaly tři podporované větve. 22.x (Jod) je v údržbovém LTS do 30. dubna 2027, 24.x (Krypton) podle plánu přešlo 20. října do údržbového režimu a končí 30. dubna 2028, 26.x je zatím Current a 28. října se stane LTS. Ve stejný den začíná alfa fáze Node.js 27 s novým ročním cyklem.

Node.js 20.x skončilo 30. dubna 2026, 25.x 1. června 2026, a Node.js připomíná, že verze po konci životnosti jsou při každém bezpečnostním vydání postižené a opravu nedostanou. To je v praxi největší skupina ohrožených: Node 20 je stále výchozí verze na řadě hostingů, v Debianu trixie a v mnoha Dockerfile. Přechod z 20 na 22 je obvykle bezbolestný, z 20 na 24 vyžaduje otestovat nativní moduly. Co obnáší volba verze na hostingu, rozebírá náš průvodce Node.js hosting: co potřebujete vědět.

Kde opravu vzít, stav 22. října dopoledne:

1. nodejs.org, nvm, fnm: opravené verze jsou v index.json od vydání, nvm install 24 je stáhne rovnou.
2. Docker Hub: tagy 22.23.4, 24.22.1, 26.12.1 a jejich slim varianty byly nahrané 21. října večer (slim) a 22. října po 02:30 UTC (plné a alpine). Plovoucí tagy node:22, node:24 a node:26 se posunuly, obraz pinovaný na node:24.22.0 zůstává zranitelný. Stavějte s docker build --pull.
3. NodeSource: 22.23.4 a 24.22.1 v repozitářích. Homebrew: node, node@24 i node@22 aktualizované.
4. Alpine: opravený jen nodejs-current 26.12.1 v edge; balíčky nodejs ve stabilních větvích zatím ne. Debian: tracker eviduje chybu jako neopravenou ve všech větvích (bookworm má Node 18, trixie 20), oprava tam přijde přes libbrotli. Fedora: 22.23.4 ani 24.22.1 zatím nejsou. Chocolatey: nodejs-lts čeká na moderaci na 24.22.0.

Jak reagují provideři: CloudLinux staví, Plesk opravil jen Windows, Vercel nasadil WAF

Na rozdíl od PHP tentokrát žádný český ani slovenský hosting nic nepublikoval. Webglobe, Websupport, Forpsi, nextHosting i Český hosting měly 21. a 22. října na stavových stránkách a blozích jen PHP. Není to překvapivé: Node.js na sdíleném hostingu obvykle běží přes CloudLinux Node.js Selector a oprava přijde s jeho balíčky.

Kdo nechce čekat na CloudLinux, může v cPanelu přepnout aplikaci na vyšší hlavní verzi, ale to opravu nepřinese, dokud nový balíček není v repozitáři. Rozumnější je sledovat incident a po instalaci balíčků aplikaci restartovat.

Co udělat dnes: podle toho, kde aplikace běží

Zákazník hostingu s Node.js Selectorem (cPanel, Plesk). Verzi binárky opravuje provider, vy zkontrolujte tohle:

1. Zjistěte verzi, na které aplikace běží. V cPanelu v Setup Node.js App, v Plesku na kartě domény. Pokud je to 20 nebo starší, přepněte na 22 nebo 24 a aplikaci otestujte; stará větev opravu nedostane ani od CloudLinuxu, i když pro ni balíček vyjde, je to jen dočasná záplata na nepodporovaný kód.
2. Po oznámení providera aplikaci restartujte. Tlačítko Restart v selectoru nebo touch tmp/restart.txt u Passengeru. Běžící proces drží starou binárku.
3. Pokud provider nic neoznámil, zeptejte se konkrétně na alt-nodejs 22.23.4 / 24.22.1. Jak aplikaci na hostingu správně provozovat, popisuje návod Jak nasadit Node.js aplikaci na hosting.

Správce VPS nebo vlastního serveru. Tady je odpovědnost na vás:

1. Aktualizujte na 26.12.1, 24.22.1 nebo 22.23.4 přes nvm, NodeSource nebo distribuční balíček, jakmile existuje. Ověřte node -v.
2. Zjistěte, jestli Node.js používá systémový Brotli: ldd $(which node) | grep brotli na Linuxu, otool -L na macOS. Pokud ano, aktualizujte i libbrotli (1.2.1, 1.1.1 nebo 1.0.10).
3. Restartujte všechny procesy: pm2 restart all (a pm2 update, pokud sám PM2 běží na staré binárce), systemctl restart, u kontejnerů rebuild a redeploy.
4. Znovu sestavte SEA binárky a startovací snapshoty, jinak zůstane chyba s opakovanými UUID.
5. Dočasná opatření, pokud nemůžete aktualizovat hned: v body-parseru nastavte inflate: false (odmítne komprimovaná těla požadavků), u axiosu decompress: false. Pro fetch() žádné obejití neexistuje, server může poslat Brotli bez ohledu na Accept-Encoding. U DNS kontrolujte name.includes('\0') před voláním dns.resolve*, u TLS odmítejte hosty, které nejsou IP adresou podle net.isIP(), ale stanou se jí po url.domainToASCII(). Nic z toho nenahrazuje aktualizaci.
6. Neřešte selhání certifikátů po aktualizaci vypnutím rejectUnauthorized nebo NODE_TLS_REJECT_UNAUTHORIZED=0. Pokud spojení padá na CERT_REVOKED, protistrana používá certifikát od eMudhry a má problém ona.

Vývojář a agentura. Projděte projekty podle verze runtime a způsobu nasazení. Tři rizikové skupiny: cokoliv na Node 20 nebo starším, obrazy a Dockerfile s pinovanou patch verzí (node:24.22.0, .nvmrc s přesným číslem, volta.node v package.json), a aplikace, které stahují obsah z cizích serverů (webhooky, scrapery, proxy, image optimizers), protože tam Brotli dekódování probíhá bez vašeho vědomí. Rozsah engines.node: ">=24" posune verzi na většině PaaS automaticky, přesný pin ne.

Shrnutí

Node.js opravil deset chyb a jedinou, která může vést ke spuštění kódu, zdědil od Googlu, kde oprava osm měsíců ležela bez bezpečnostního označení. Vystavený je každý, kdo nechá Node.js dekódovat cizí Brotli data, což díky automatické dekompresi ve fetch(), axiosu a Expressu 5 znamená většinu aplikací, které s něčím komunikují. TLS chyby neumožňují odposlech každého spojení, ale v kombinaci s certifikátem od důvěryhodné autority obejdou kontrolu hostname, a přesně takové certifikáty mohly z kompromitované eMudhry vzejít. Oprava je k dispozici všude kromě stabilních distribučních balíčků; CloudLinux slíbil alt-nodejs během středečního poledne, Plesk pro Linux zatím mlčí. Kdo má aplikaci na Node 20, nemá co aktualizovat a musí migrovat. Pro majitele běžného webu na PHP se nic nemění; pro každého, kdo provozuje Node.js backend, proxy nebo self-hosted Next.js, je to úkol na dnešek.