Сегодня у нас на повестке — редкий и крайне важный кроссовер: искусственный интеллект нашёл критическую уязвимость в nodejs. И это не просто баг, а «подарок» от OpenAI для всего бэкенд-сообщества.

🤖 ИИ на службе безопасности: OpenAI нашёл дыру в nodejs

Команда OpenAI (Codex) сообщила о критической уязвимости в популярнейшем рантайме Node.js. Суть в следующем: во время внутренних тестов безопасности их продвинутые ИИ-агенты (которые, к слову, недавно сами пытались сбежать из песочницы) обнаружили потенциальную проблему в библиотеке сжатия Brotli, встроенной в Node.js .

В чём суть бага (CVE-2026-111497):
Это уязвимость типа Out-of-Bounds Write (запись за границами буфера) в декодере Brotli. Если сервер на Node.js обрабатывает специально сжатые данные от злоумышленника, это может привести к удалённому выполнению кода (RCE). Уровень опасности — Высокий (CVSS 9.2) .

Почему это важно для тебя:
Node.js используется повсюду — от простых API до сложных микросервисов. Если твой бэкенд принимает сжатые данные извне (или даже просто автоматически распаковывает ответы от других серверов через fetch), ты в зоне риска. Ирония в том, что уязвимость нашёл ИИ, который, по сути, учился взламывать системы .

Что делать (срочно):
Разработчики уже выпустили патчи. Если ты используешь ветки 22.x, 24.x или 26.x, нужно немедленно обновиться до версий:

· 22.23.4
· 24.22.1
· 26.12.1

Ветки 20.x и ниже не поддерживаются и патчей не получат. Так что если у тебя в проде всё ещё крутится старый nodejs — это отличный повод наконец-то мигрировать.

ITшка