في 21 أكتوبر 2026، كشفت Node.js عن ثغرة حرجة تم تحديدها كـ CVE-2026-111497. هذه الثغرة هي مشكلة كتابة خارج الحدود في وحدة فك ترميز Brotli التابعة لشركة Google، والتي تم تخصيص درجة CVSS لها تبلغ 9.2.
تسمح الثغرة للمهاجمين باستغلال بيانات مضغوطة مصممة خصيصاً، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد وكشف الذاكرة. تم الإبلاغ عن محاولات استغلال فعلي، تستهدف بشكل خاص إصدار Node.js 24.22.0.
تمت إضافة CVE-2026-111497 إلى كتالوج الثغرات المستغلة المعروف لدى CISA. وقد أصدرت العديد من شركات الأمن، بما في ذلك Cisco وPalo Alto Networks، نشرات أمنية وتحديثات لمعالجة هذه الثغرة.
تؤثر الثغرة على العديد من أطر العمل البرمجية التي تستخدم وحدة فك ترميز Brotli، بما في ذلك Node.js وPython و.NET. وقد لاحظت Zscaler محاولات استطلاع واستغلال تستهدف هذه الثغرة من خلال تقنية الخداع الخاصة بها.
تحدث الثغرة في منطق فك ترميز الكتل في Brotli، مما يمكن أن يؤدي إلى كتابة خارج الحدود ويعمل كأداة لتنفيذ التعليمات البرمجية عن بُعد. تُحث المنظمات على تطبيق التحديثات فوراً للتخفيف من المخاطر المرتبطة بـ CVE-2026-111497.