CVE-2026-26332: vm2: fuga de sandbox (escape de isolamento)
A CVE-2026-26332 afeta o sandbox vm2 de código aberto para Node.js. Segundo o registro, versões anteriores à 3.11.0 são vulneráveis a uma fuga do sandbox por meio de SuppressedError, o que pode levar à execução de código arbitrário, e o problema foi corrigido na 3.11.0. O CISA KEV não lista esta CVE e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O vm2 é um sandbox de código aberto para executar código dentro do Node.js. Segundo o registro, versões anteriores à 3.11.0 contêm uma falha envolvendo SuppressedError que permite a um atacante escapar do sandbox e executar código arbitrário. A correção é indicada na versão 3.11.0.
Impacto
- Uma fuga do sandbox pode levar a execução de código para fora da fronteira de isolamento pretendida.
- O registro classifica a fraqueza como CWE-94 (Injeção de Código).
- As pontuações CVSS v3.1 no registro variam de 9,1 a 10 conforme o provedor. A NVD lista 10 com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.
Produtos e versões afetadas
- Patriksimek Vm2: anteriores à 3.11.0.
- Vm2 Project Vm2: anteriores à 3.11.0.
Status de exploração
O CISA KEV não lista esta CVE. Nenhuma exploração ativa confirmada aparece nas fontes consultadas. O valor SSVC de exploração é poc (prova de conceito), e uma referência está marcada como relacionada a exploit. Isso sugere que pode haver material de exploração público, mas não confirma exploração no mundo real.
Correção e mitigação
- Atualize o vm2 para a 3.11.0, versão que o registro indica conter a correção.
- Faça um inventário de todos os projetos Node.js que usam vm2, incluindo dependências transitivas trazidas por outros pacotes.
- O registro não documenta uma solução alternativa. Reduzir a exposição a entradas não confiáveis é apenas uma medida compensatória e não substitui a atualização.
Orientações de detecção
- Verifique arquivos de lock e o software bill of materials em busca de vm2 e confirme a versão resolvida.
- Identifique aplicações que repassam código não confiável ou fornecido por usuários ao vm2 e priorize-as.
- Revise os logs de serviços que usam execução em sandbox para comportamentos incomuns (inferência baseada na classe da vulnerabilidade, não em um indicador documentado).
Limitações das informações disponíveis
O registro informa apenas o limite de versão indicado, não descreve o mecanismo técnico e não contém solução alternativa publicada pelo fabricante. A disponibilidade de exploit é inferida pela tag de referência e pelo valor SSVC, não confirmada. As pontuações CVSS diferem entre provedores e não há entrada no KEV.
Perguntas frequentes
Quais versões do vm2 são afetadas pela CVE-2026-26332?
Segundo o registro, as versões anteriores à 3.11.0 são afetadas para os dois produtos listados, Patriksimek Vm2 e Vm2 Project Vm2.
Qual é a correção?
O registro indica que o problema foi corrigido na versão 3.11.0. O campo de correções do registro está vazio, então a informação vem da descrição e da referência de lançamento.
Esta vulnerabilidade está sendo explorada ativamente?
O CISA KEV não a lista e nenhuma exploração ativa confirmada aparece nas fontes consultadas. O valor SSVC é poc, então pode haver material público de prova de conceito.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.