La sicurezza del software open source torna sotto i riflettori con un caso che merita attenzione immediata. La CISA ha inserito nel proprio catalogo KEV (Known Exploited Vulnerabilities) la CVE-2026-111497, una vulnerabilità critica che riguarda il decoder Brotli integrato in Node.js. La classificazione nel catalogo KEV non è un dettaglio formale: significa che la falla è già stata sfruttata attivamente in attacchi reali, rendendo l'aggiornamento non più rinviabile.
Cos'è la scrittura fuori dai limiti nel decoder Brotli
Il problema risiede in una scrittura fuori dai limiti (out-of-bounds write) all'interno del decoder Brotli, il componente che gestisce la decompressione dei dati compressi con questo algoritmo. Un attaccante potrebbe sfruttare la vulnerabilità per corrompere la memoria del processo, con conseguenze che vanno dal crash del servizio fino all'esecuzione di codice arbitrario. La falla tocca Node.js, ma la diffusione del decoder Brotli in altri ecosistemi espone indirettamente anche ambienti Python e .NET, che condividono librerie o implementazioni analoghe.
Il rilascio del 21 ottobre e le altre nove falle
Il team di Node.js ha pubblicato una release correttiva il 21 ottobre che risolve la CVE-2026-111497 insieme ad altre nove vulnerabilità. Tra queste spiccano tre falle di gravità alta che interessano i moduli TLS e DNS, aree sensibili perché gestiscono rispettivamente la cifratura delle comunicazioni e la risoluzione dei nomi di dominio. Gli sviluppatori e gli amministratori di sistema sono chiamati ad aggiornare con urgenza alle versioni 22.23.4, 24.22.1 oppure 26.12.1, a seconda del ramo di rilascio in uso.
L'impatto pratico è rilevante: chiunque esponga servizi basati su Node.js a input esterni — API, server web, microservizi — dovrebbe considerare l'aggiornamento come priorità assoluta. La presenza nel catalogo KEV impone inoltre, per le agenzie federali statunitensi, la remediation entro scadenze stringenti, ma la raccomandazione si estende a tutta la community. Il consiglio è verificare subito la versione in esecuzione e pianificare il patch senza attendere ulteriori segnali.
