CVE-2026-93603: Kritisk sandkasse-flugt i vm2

vm2 er et udbredt JavaScript-bibliotek til Node.js, som udviklere bruger til at køre upålidelig kode i en sandkasse, altså et lukket miljø, der skal forhindre koden i at røre resten af serveren. CVE-2026-93603 er en fejl i vm2’s bro-funktion (bridge.js), som håndterer kald mellem sandkassen og værtsprogrammet. Når kode i sandkassen kalder en værtsfunktion uden at angive en modtager for ‘this’, indsætter JavaScript-motoren V8 automatisk hele det globale objekt fra værten som ‘this’. vm2 videregiver ved en fejl dette objekt til sandkassen, som dermed får levende adgang til hele værtens miljø, herunder ‘process’-objektet, som kan bruges til at afvikle systemkommandoer. Det svarer til, at en gæst i et aflåst lokale pludselig får nøglen til hele bygningen.

Sårbarheden rammer virksomheder, der har udviklet eller driver applikationer i Node.js, som bruger vm2 til at afvikle brugerindsendt eller på anden måde upålidelig kode. Det gælder for eksempel online kodeeditorer, plugin- og udvidelsessystemer, low-code platforme, CI/CD-værktøjer og chatbots eller automatiseringstjenester, der lader brugere indtaste formler eller scripts. Alle versioner af vm2 til og med 3.12.0 er berørte. Fejlen kræver, at den omkringliggende applikation stiller mindst én værtsfunktion til rådighed for sandkassen, som ikke er skrevet i strict mode. Da strict mode ikke er standard i almindelig JavaScript, gælder det de fleste typiske installationer.

En angriber, der kan få sin kode afviklet i sandkassen, for eksempel via et plugin, en formel eller et script, kan bryde helt ud og køre vilkårlige kommandoer direkte på serveren. I praksis betyder det, at angriberen kan læse databaseoplysninger og adgangskoder fra miljøvariabler, installere skadelig software, slette eller kryptere data og bruge serveren som springbræt videre ind i jeres netværk. Da sandkassen normalt bruges til at isolere upålidelig kode, kan konsekvensen være langt større, end hvis den samme fejl fandtes i en almindelig funktion, fordi hele sikkerhedsformålet med vm2 forsvinder.

CVSS-scoren er 10,0 ud af 10, den højeste mulige. Angrebet kræver ingen adgangskoder, ingen brugerinteraktion og kan udføres over netværket med lav kompleksitet. Fortrolighed, integritet og tilgængelighed rammes alle fuldt ud, og angrebet kan påvirke systemer ud over selve vm2-komponenten, fordi hele værtsmiljøet bliver blotlagt. Der er offentliggjort en detaljeret teknisk beskrivelse af, hvordan fejlen udnyttes, hvilket gør det forholdsvis let for en angriber at bygge et fungerende angreb. Der er ikke oplysninger om, at fejlen er udnyttet i angreb, men den tekniske beskrivelse fungerer i praksis som en køreklar opskrift.

Følg disse trin, i denne rækkefølge:

1. Opdatér vm2 til version 3.12.1 i alle applikationer og tjenester, hvor biblioteket indgår, enten direkte eller som en afhængighed.
2. Kortlæg hvor vm2 bruges. Kør en søgning i jeres package.json- og package-lock.json-filer eller brug ‘npm ls vm2’ på tværs af jeres Node.js-projekter.
3. Kan I ikke opdatere med det samme, så begræns hvilke værtsfunktioner sandkassen har adgang til, og isolér tjenesten yderligere med containerisering eller netværkssegmentering.
4. Gennemgå logs for usædvanlig aktivitet fra tjenester, der kører vm2, hvis opdateringen har ventet.
5. Overvej på sigt at migrere væk fra vm2, da projektet ikke længere vedligeholdes aktivt, og skift til et alternativ som isolated-vm.
6. Få hjælp udefra, hvis I ikke selv har overblik over, hvilke systemer der bruger vm2, eller om jeres applikation er sårbar.