CVE-2026-92944: Sandkasseflugt i vm2 på Node.js 26

CVE-2026-92944 er en sandkasseflugt (sandbox escape) i biblioteket vm2, som mange Node.js-applikationer bruger til at køre upålidelig JavaScript-kode isoleret fra resten af systemet. Fejlen ligger i, at V8-motoren i Node.js 26 (version 14.6) har en forældet intern kontrolmekanisme kaldet PromiseThenLookupChain, som vm2 er afhængig af for at holde koden inde i sandkassen. Ved at bygge en asynkron funktion, der returnerer et Promise-objekt med en manipuleret Symbol.species-egenskab, kan en angriber få adgang til Node.js’s egen Function-konstruktør og process-objekt, altså vejen ud af sandkassen og ind i selve serverprocessen. Herfra kan angriberen køre præcis den kode, denne vil, med de rettigheder processen har. Svagheden hører til kategorien CWE-693, fejl i en beskyttelsesmekanisme.

Det rammer virksomheder, der selv har udviklet eller købt software, som bruger vm2 version 3.10.2 til 3.11.6 til at afvikle kode fra brugere eller tredjeparter i en isoleret sandkasse. Det gælder typisk plugin-systemer, low-code eller no-code platforme, regnemaskiner og formel-motoren i regneark, kodefortolkere i undervisnings- eller udviklerværktøjer, samt SaaS-produkter, hvor kunder selv kan uploade scripts. Sårbarheden kræver, at systemet kører på Node.js 26 med V8 14.6. Er man softwareleverandør til danske kommuner eller virksomheder med den slags funktionalitet, bør man undersøge sin egen kodebase.

Kan en angriber få sin egen kode udført inde i vm2-sandkassen, hvilket ofte netop er formålet med det pågældende produkt, kan angriberen bryde ud og få fuld kontrol over serverprocessen. Det betyder adgang til alt, processen kan se: databaseforbindelser, adgangskoder, andre kunders data på en delt platform, og mulighed for at installere bagdøre eller sprede sig videre i netværket. For en dansk virksomhed, der driver en platform med kundedata, kan det ende som et databrud med krav om anmeldelse til Datatilsynet.

CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ingen login og ingen handling fra en bruger i det angrebne system, kun at angriberen kan levere kode til sandkassen, hvilket for mange af de nævnte produkttyper er en helt normal og forventet interaktion. Fortrolighed, integritet og tilgængelighed rammes alle fuldt ud, da angriberen ender med kodeudførelse på serveren. Der er ikke oplyst kendte angreb i naturen på tidspunktet for offentliggørelsen, men fejlen er teknisk simpel at udnytte for en angriber, der kender mekanismen.

Vi anbefaler at handle i denne rækkefølge:

1. Undersøg om jeres software eller platform bruger vm2 til at afvikle upålidelig kode, og find ud af hvilken version og hvilken Node.js-version den kører på.
2. Er I på Node.js 26 med V8 14.6, skal I enten skifte til en Node.js-version uden den forældede kontrolmekanisme, eller lægge sandkassen i en helt separat proces eller container med begrænsede rettigheder, indtil en rettet version af vm2 findes.
3. Overvej på sigt at udfase vm2 helt til fordel for et aktivt vedligeholdt isoleringslag, da vm2-projektet gentagne gange har haft lignende sandkasseflugter.
4. Begræns processens netværksadgang, filsystemadgang og rettigheder til det strengt nødvendige, så en eventuel flugt gør mindst mulig skade.
5. Gennemgå logs for uventede kald til Function-konstruktøren eller uventet adgang til process-objektet fra sandkassekode.
6. Er I i tvivl om, hvorvidt jeres produkt er sårbart, eller hvordan I isolerer sandkassen korrekt, bør I søge hjælp fra en sikkerhedsrådgiver eller jeres softwareleverandør.