КиберосноваSGRC
BDU:2026-17395
Критический

BDU:2026-17395: Уязвимость алгоритма сжатия данных Brotli программной платформы Node.js, позволяющая нарушителю выполнить произвольный код

CVSS v4.09.2
CVSS v39.8
CVSS v210.0
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2026-17395

Описание

Уязвимость алгоритма сжатия данных Brotli программной платформы Node.js связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Что делать с BDU:2026-17395

Критическая уязвимость (CVSS 9.2) требует немедленного реагирования. По приказу ФСТЭК №117 срок устранения — 24 часа. Проверьте наличие патча у вендора и установите его на все затронутые системы. При невозможности патча — изолируйте уязвимый компонент и примените компенсирующие меры.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v4.0
9.2Критический
Пересчитать →
v3.1
9.8Критический
Пересчитать →
v2
10.0
Только просмотр
AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:NAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CWE-252
CWE-787

CVE — международный идентификатор

CVE-2026-111497
PT-2026-35

Тактики и техники

Манипулирование ресурсами

Уязвимое ПО (35)

ВендорНазваниеВерсияПлатформа
ООО «РусБИТех-Астра»Astra Linux Special Edition1.7Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition4.7ARM
ООО «РусБИТех-Астра»Astra Linux Common Edition1.6 «Смоленск»Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition1.8Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition3.8Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition4.8ARM
Node.js FoundationNode.jsдо 22.23.4Не указана
Node.js FoundationNode.jsдо 24.22.1Не указана
Node.js FoundationNode.jsдо 26.12.1Не указана
Jyrki AlakuijalaBrotliот 1.0.3 до 1.0.10Не указана
Jyrki AlakuijalaBrotliот 1.1.0 до 1.1.1Не указана
Jyrki AlakuijalaBrotliот 1.2.0 до 1.2.1Не указана
АО «Позитив Текнолоджиз»PT Sandboxдо версии 5.37.2Не указана
АО «Позитив Текнолоджиз»PT Sandboxдо версии 5.38.1 (за исключением 5.37.2)Не указана
АО «Позитив Текнолоджиз»PT Sandboxдо версии 5.39.0 (за исключением 5.37.2, 5.38.1)Не указана
АО «Позитив Текнолоджиз»PT Sandboxдо 5.32.0.153539-cert (сертифицировано) включительноНе указана
АО «Позитив Текнолоджиз»PT MultiScannerдо версии 5.37.2Не указана
АО «Позитив Текнолоджиз»PT MultiScannerдо версии 5.38.1 (за исключением 5.37.2)Не указана
АО «Позитив Текнолоджиз»PT MultiScannerдо версии 5.39.0 (за исключением 5.37.2, 5.38.1)Не указана
АО «Позитив Текнолоджиз»PT MultiScannerдо 5.32.0.153539-cert (сертифицировано) включительноНе указана
АО «Позитив Текнолоджиз»PT Email Gatewayдо версии 5.37.2Не указана
АО «Позитив Текнолоджиз»PT Email Gatewayдо версии 5.38.1 (за исключением 5.37.2)Не указана
АО «Позитив Текнолоджиз»PT Email Gatewayдо версии 5.39.0 (за исключением 5.37.2, 5.38.1)Не указана
АО «Позитив Текнолоджиз»PT Email Gatewayдо 5.32.0.153539-cert (сертифицировано) включительноНе указана
АО «Позитив Текнолоджиз»PT Email Securityдо версии 5.37.2Не указана
АО «Позитив Текнолоджиз»PT Email Securityдо версии 5.38.1 (за исключением 5.37.2)Не указана
АО «Позитив Текнолоджиз»PT Email Securityдо версии 5.39.0 (за исключением 5.37.2, 5.38.1)Не указана
АО «Позитив Текнолоджиз»PT Email Securityдо 5.32.0.153539-cert (сертифицировано) включительноНе указана
АО «Лаборатория Касперского»Kaspersky Endpoint Security для Windowsдо 12.8 c обновлениями антивирусных баз, выпущенных 07.11.2026 или позжеНе указана
АО «Лаборатория Касперского»Kaspersky Endpoint Security для Windowsдо 12.12 c обновлениями антивирусных баз, выпущенных 07.11.2026 или позжеНе указана
АО «Лаборатория Касперского»Kaspersky Endpoint Security для Windows14.2 c обновлениями антивирусных баз, выпущенных 07.11.2026 или позжеНе указана
АО «Лаборатория Касперского»Kaspersky Embedded Systems Securityдо 4.1 c обновлениями антивирусных баз, выпущенных 07.11.2026 или позжеНе указана
АО «Лаборатория Касперского»Kaspersky Industrial CyberSecurity for Nodesдо 5.0 c обновлениями антивирусных баз, выпущенных 07.11.2026 или позжеНе указана
АО «Лаборатория Касперского»Kaspersky Small Office Securityдо 8.0 c обновлениями антивирусных баз, выпущенных 07.11.2026 или позжеНе указана
АО «Лаборатория Касперского»Kaspersky for Windowsдо 21.27 c обновлениями антивирусных баз, выпущенных 07.11.2026 или позжеНе указана

Среды функционирования (7)

ВендорНазваниеВерсияПлатформа
ООО «РусБИТех-Астра»Astra Linux Special Edition1.7Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition4.7ARM
ООО «РусБИТех-Астра»Astra Linux Common Edition1.6 «Смоленск»Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition1.8Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition3.8Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition4.8ARM
АО «НППКТ»ОСОН ОСнова Оnyx3.1Не указана

Рекомендации по устранению

Использование рекомендаций производителя: https://nodejs.org/en/blog/vulnerability/october-2026-security-releases#nodejs-brotli-decoder-out-of-bounds-write-permits-remote-code-execution-cve-2026-111497---high Для Brotli: https://github.com/google/brotli/releases#release-v1.0.10 https://github.com/google/brotli/releases#release-v1.1.1 https://github.com/google/brotli/releases#release-v1.2.1 Для ОСОН ОСнова Оnyx: Использование рекомендаций производителя: https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/Оперативные_исправления/2026-10-30 Для ОС Astra Linux: https://wiki.astralinux.ru/x/6Y8tI https://wiki.astralinux.ru/x/sY8tI https://wiki.astralinux.ru/x/9I8tI https://wiki.astralinux.ru/x/7o8tI https://wiki.astralinux.ru/x/7I8tI https://wiki.astralinux.ru/x/8I8tI Для ОС Astra Linux: - обновить пакет brotli до 1.0.9-2.astra1+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2026-1102SE18HF Для PT Sandbox, PT MultiScanner, PT Email Gateway, PT Email Security: - Обновление до версии 5.37.2; - Обновление до версии 5.38.1 и выше; - Обновление до версии 5.35.0-cert (сертифицировано). Для АО «Лаборатория Касперского»: обновление антивирусных баз до версии, выпущенной 07.11.2026 или позже

Источники (1)

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.2

Уточните SLA под вашу среду

Базовый балл 9.2 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Немедленно устранить

Эксплуатируется или вероятность крайне высока. Приоритет №1 — устраните в первую очередь.

EPSS — вероятность эксплуатации82.6%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

CISA KEV — активно эксплуатируется

Включена в каталог Known Exploited Vulnerabilities. Устранение — приоритет.

Информация

Обнаружена

2026-10-21

Опубликована

2026-10-23

Обновлена

2026-11-11

Эксплойт

Существует в открытом доступе

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Сертификация ФСТЭК

Продукт сертифицирован ФСТЭК России — сертификат №2557 (действует).

Карточка сертификата в реестре СЗИ

Сертификация подтверждает соответствие требованиям по защите информации на момент выдачи и не гарантирует отсутствие уязвимостей.

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2026-111497 MITRE: CWE-252 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

 
Средний
8.8

Уязвимость модуля vmwgfx ядра операционной системы Linux, позволяющая нарушителю повысить свои привилегии

 
Средний
7.8

Уязвимость функции skb_zerocopy() модуля net/core/skbuff.c ядра операционной системы Linux, позволяющая нарушителю повыс

 
Критический
9.2

Уязвимость функции longjmp() компонента session.upload_progress ядра интерпретатора языка программирования PHP, позволяю

 
Критический
9.2

Уязвимость компонента session.upload_progress ядра интерпретатора языка программирования PHP, позволяющая нарушителю вып

 
Высокий
8.6

Уязвимость модуля nvmet ядра операционной системы Linux, позволяющая нарушителю получить несанкционированный доступ к за

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Расчёт срока устранения: 24 ч для критических, 7 дней для высоких

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 94 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: импорт БДУ ФСТЭК, CVSS и привязка к активам в одном интерфейсе.

Калькулятор CVSS v4.0