تیم توسعه‌دهندگان پلتفرم Node.js با انتشار به‌روزرسانی‌های جدید 16 مشکل امنیتی این محیط اجرایی محبوب را برطرف کردهاند. هفت مورد از این مشکلات به عنوان مشکلات با خطر بالا شناخته می‌شوند و به مهاجم اجازه میدهند بدون نیاز به هیچگونه احراز هویت سرور را خاموش کنند یا به اطلاعات مرتبط با حافظه دسترسی پیدا کنند.
یکی از خطرناکترین خطراتی که در این مشکلات توصیف شده است افشای جزئیات اتصال HTTPS از جمله کلیدهای خصوصی TLS و درخواستهای کاربر است. همچنین به‌روزرسانی جدید Node.js یک سری از مشکلات امنیتی را در مدیریت اتصالات HTTP/2 و TLS در Node.js حل می‌کند.
چه خطراتی از مشکلات جدید Node.js وجود دارد؟
بر اساس گزارش رسمی، بسته به‌روزرسانی جدید Node.js 16 مشکل امنیتی را برطرف می‌کند که هفت مورد از آنها با خطر بالا، شش مورد با خطر متوسط و سه مورد با خطر کم هستند.
یک تعداد قابل توجه از آنها به مدیریت اتصالات HTTP/2، مدیریت درخواستهای HTTPS و مدیریت حافظه در سرورهای Node.js مربوط می‌شود.
دو مورد از مهمترین مشکلات بسته جدید Node.js عبارتند از:
1. امکان خاموش کردن سرورهای HTTP/2 بدون احراز هویت
مشکل با شناسه CVE-2026-123863 به مهاجم اجازه می‌دهد سروری که بر روی پروتکل HTTP/2 کار می‌کند را بدون داشتن هیچگونه نام کاربری یا دسترسی خاموش کند.
این مشکل به دلیل نقص در مدیریت جلسه HTTP/2 و آزادسازی منابع حافظه رخ می‌دهد. مهاجم قادر است چنین وضعیتی را ایجاد کند که یک بررسی داخلی Node.js در آن شکست بخورد و در نتیجه منجر به توقف فرایند سرور شود با ارسال درخواستهای دستکاری شده.
یک جنبه مهم این مشکل این است که برای بهرهبرداری از آن نیازی به پیکربندی غیرمعمول سرور نیست حتی یک سرور HTTP/2 پیش‌فرض نیز در شرایط خاصی ممکن است تحت تأثیر این نقص قرار بگیرد.
این مشکل بر روی شاخه‌های 24.x و 26.x تأثیر می‌گذارد.
2. افشای اطلاعات حساس و کلیدهای خصوصی TLS
مشکل بعدی که بسیار مهم است با شناسه CVE-2026-123864 وجود دارد و در نحوه مدیریت درخواستهای HTTPS و اتصالات TLS در سرورهای HTTPS وجود دارد و به یک کاربر ناشناس اجازه می‌دهد به بخشی از حافظه مربوط به اتصالات دیگر دسترسی پیدا کند.
اطلاعات ممکناً افشا شده شامل موارد زیر است:
- کلیدهای خصوصی TLS
- محتوای درخواستهای کاربر
- اطلاعات حساس ذخیره شده در حافظه سرور
- اطلاعات مربوط به اتصالات همزمان
این مشکل به دلیل تعامل نادرست بین پردازش داده‌های ورودی و عملیات خواندن/نوشتن در اتصالات TLS رخ می‌دهد.
برای بهرهبرداری از این مشکل برنامه سرور باید شرایط خاصی را در مورد مدیریت درخواست‌ها و پاسخ‌ها برآورده کند.بنابراین همه سرورهای Node.js مبتنی بر HTTPS لزوماً تحت تأثیر این حمله قرار نمی‌گیرند.
با این حال اهمیت این مشکل بسیار بالاست زیرا به افشای اطلاعاتی که مربوط به اتصالات دیگر است و همچنین داده‌های امنیتی حساس می‌پردازد.
مشکلات دیگری که در Node.js برطرف شده است
به جز این دو مشکل بسته جدید Node.js مشکلات دیگری را نیز در بخش‌های مختلف این محیط اجرایی برطرف می‌کند.
مهمترین آنها عبارتند از:
| شناسه آسیبپذیری | شرح مشکل |
| CVE-2026-123865 | نشت منابع حافظه و فایل‌های باز در نشست‌های HTTP/2 |
| CVE-2026-123866 | افشای حافظه پاسخ‌های متعلق به اتصالهای دیگر |
| CVE-2026-126051 | امکان از کار انداختن سرورهای TLS از راه دور |
| CVE-2026-123872 | دور زدن محدودیت احراز هویت مبتنی بر گواهی در TLS |
| CVE-2026-123874 | تخریب حافظه در پردازش جریان فایل‌های HTTP/2 |
| CVE-2026-123867 | ضعف در اعمال سیاست‌های احراز هویت گواهی برای دامنه‌های مختلف |
این مشکلات نشان می‌دهد که بخش‌های مختلف زیرساخت ارتباطی Node.js از مدیریت حافظه تا اعتبارسنجی گواهینامه میتواند در برابر تهدیدات امنیتی آسیبپذیر باشد.
کدام نسخههای Node.js باید به‌روزرسانی شوند؟
در 11 نوامبر 2026 تیم توسعه‌دهندگان Node.js نسخههای امنیتی جدید را برای سه شاخه فعلی این نرم‌افزار منتشر کردند.
آنها عبارتند از:
| شاخه | نسخه اصلاحشده |
| Node.js 22.x | 22.23.5 |
| Node.js 24.x | 24.22.3 |
| Node.js 26.x | 26.13.1 |
کاربران باید نصب خود را به نسخه جدید متناظر با شاخه خود به‌روزرسانی کنند.
همچنین نسخههای پایان عمر مانند شاخه‌های 20.x و 25.x دیگر هیچگونه پچ امنیتی جدیدی دریافت نخواهند کرد و در برابر مشکلات مرتبط در زمان این به‌روزرسانی آسیبپذیر خواهند ماند.
چگونه میتوان سرورهای Node.js را محافظت کرد؟
اولین گام برای مقابله با این مشکلات به‌روزرسانی Node.js به نسخه جدید است. با این حال اقدامات اضافی نیز وجود دارد که مدیران سرور و تیم‌های زیرساخت باید انجام دهند.
1. بررسی نسخه نصب شده Node.js
ابتدا باید نسخه فعلی Node.js نصب شده در سیستم خود را با استفاده از دستور زیر بررسی کنید:
node –version
اگر از نسخههای آسیبپذیر استفاده می‌کنید باید آن را به نسخه جدید متناظر با شاخه خود به‌روزرسانی کنید.
2. بررسی خدمات HTTPS و HTTP/2
همه خدماتی که مستقیماً درخواستهای HTTP/2 یا HTTPS را با استفاده از Node.js پردازش میکنند باید بررسی شوند. به ویژه برنامه‌هایی که از ویژگی‌های خاصی از جریان‌های درخواست/پاسخ استفاده میکنند باید بررسی شوند.
3. بررسی گواهینامه‌ها و کلیدهای TLS
در صورتی که سرورها در معرض خطر افشای اطلاعات حساس هستند مدیران امنیت باید احتمال افشای اطلاعات را ارزیابی کنند. در صورت خطر افشای کلیدهای خصوصی،جایگزینی گواهینامه‌ها و کلیدهای متناظر باید به عنوان بخشی از برنامه پاسخ به حوادث برنامه‌ریزی شود.
4. به‌روزرسانی وابستگی‌های نرم‌افزاری
برخی از مشکلات ذکر شده نیز به بسته‌های نرم‌افزاری شخص ثالث مانند llhttp، undici و SQLite مربوط می‌شوند. بنابراین فقط بررسی نسخه Node.js کافی نیست و شما همچنین باید مطمئن شوید که نرم‌افزارهای شما دارای نسخههای به‌روزرسانی شده این وابستگی‌ها هستند.
5. استفاده از راهکارهای امنیتی سازمانی
نظارت بر ترافیک شبکه،شناسایی فعالیت‌های غیرمعمول،تحقیق در مورد دسترسی‌های مشکوک و نظارت بر فرآیندهای سرور گام‌های کلیدی برای کاهش خطر حمله هستند.
راهکارهای امنیتی نقطه‌ای و پاسخ (EDR) و XDR می‌توانند با تحلیل فرآیندها و شناسایی فعالیت‌های غیرمعمول به شناسایی و جداسازی تهدید در زیرساخت‌های سازمانی کمک کنند.
نتیجه‌گیری
انتشار 16 پچ امنیتی برای Node.js نشان می‌دهد که مشکلات در سطح ارتباط و مدیریت حافظه میتواند منجر به عواقب جدی برای زیرساخت‌های نرم‌افزاری شود.
امکان خاموش کردن سرور بدون هیچگونه احراز هویت و افشای اطلاعات از اتصالات HTTPS یک مشکل جدی برای مدیران سیستم، توسعه‌دهندگان و تیم‌های امنیت اطلاعات است.
سازمان‌هایی که از Node.js برای اجرای خدمات وب، APIها و زیرساخت‌های ارتباطی استفاده میکنند باید نسخههای نصب شده خود را بررسی کرده و به‌روزرسانی‌ها را به‌سرعت و به‌طور کامل انجام دهند.
گروه نماینده رسمی کسپرسکی در ایران است که به سازمان‌ها راهکارهای امنیت سایبری را برای شناسایی تهدیدها، حفاظت از سرورها و نقاط پایانی و بهبود امنیت زیرساخت‌های IT ارائه می‌دهد.