CISA เตือนช่องโหว่ Node2Shell หลังพบความพยายามโจมตีในระบบ Honeypot

หน่วยงานความปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ หรือ CISA ได้ประกาศเพิ่มช่องโหว่ใน Brotli ที่รู้จักกันในชื่อ Node2Shell เข้าสู่รายการ Known Exploited Vulnerabilities (KEV) catalog นอกจากนี้ บริษัทด้านความปลอดภัยสองแห่งยังระบุว่าสามารถบันทึกความพยายามในการโจมตีที่พุ่งเป้ามายังระบบ Honeypot ของตนได้อีกด้วย

ช่องโหว่ดังกล่าวใช้รหัส CVE-2026-111497 หรือที่รู้จักในชื่อ HTTP2Shell และ Broccoli2Shell โดยเป็นข้อผิดพลาดประเภท out-of-bounds write ในตัวถอดรหัส (decoder) ของ Brotli ซึ่งเป็นไลบรารีบีบอัดข้อมูลที่พัฒนาโดย Google

ช่องโหว่นี้ส่งผลกระทบต่อ Brotli เวอร์ชัน 1.0.3 ถึง 1.2.0 การใช้ข้อมูลบีบอัดที่สร้างขึ้นเป็นพิเศษจะช่วยให้ผู้โจมตีสามารถทำให้แอปพลิเคชันหยุดทำงาน (crash) เปิดเผยข้อมูลในหน่วยความจำ และอาจนำไปสู่การรันโค้ดอันตราย (arbitrary code execution) ได้

ข้อบกพร่องนี้รายงานโดยนักวิจัยจาก OpenAI ซึ่งทาง Node.js และ Google ได้ออกตัวอัปเดตแก้ไขเมื่อวันที่ 21 ตุลาคม นอกจากนี้ Microsoft, ผู้ดูแลแพ็กเกจ Python สองรายการ, Bun, Envoy และ Istio ก็ได้ออกตัวแก้ไขแล้วเช่นกัน ขณะที่ Palo Alto Networks กำลัง ทยอยปล่อย hotfixes สำหรับ PAN-OS โดย Imperva ได้สาธิตว่าช่องโหว่นี้สามารถใช้รันโค้ดบน image ทางการของ Node.js ได้จริง

CISA เพิ่ม CVE-2026-111497 เข้าสู่ KEV catalog เมื่อวันที่ 27 ตุลาคม แม้ไม่ได้ระบุรายละเอียดการโจมตี แต่หน่วยงานรัฐบาลกลางได้รับคำสั่งให้จัดการแก้ไขช่องโหว่นี้ภายในวันที่ 10 พฤศจิกายน

Previdian ซึ่งเฝ้าติดตามกิจกรรมการโจมตีผ่านเครือข่ายเซ็นเซอร์ ระบุว่าพบ ความพยายามในการโจมตีหนึ่งครั้ง ที่พุ่งเป้าไปที่ CVE-2026-111497 เมื่อวันที่ 27 ตุลาคม จากที่อยู่ IP ในสหรัฐฯ โดยให้ระดับความเชื่อมั่นว่าเป็นการโจมตีจริงระดับ 'ได้รับการยืนยัน' (confirmed) แต่ไม่ได้หมายความว่าความพยายามดังกล่าวจะประสบความสำเร็จเสมอไป

ด้าน ELLIO ห้องปฏิบัติการความปลอดภัยไซเบอร์ระบุว่า ตรวจพบคำขอที่เป็นอันตราย พุ่งเป้าไปที่ Node.js 24.22.0 บนระบบ x86-64 เมื่อวันที่ 26 ตุลาคม โดยพบว่าที่อยู่ IP ที่โจมตีเคยพุ่งเป้าไปที่ช่องโหว่ PHP2Shell และตรวจสอบอุปกรณ์ VPN ของ Palo Alto Networks และ Fortinet มาก่อน

อย่างไรก็ตาม จากการวิเคราะห์ของ ELLIO พบว่า exploit ที่ใช้ในการโจมตีนั้นยังทำงานไม่สมบูรณ์ (broken) แม้ส่วนประกอบในการส่งข้อมูลจะตรงกับโค้ด proof-of-concept สาธารณะ แต่ขั้นตอนสุดท้ายที่ผู้โจมตีเขียนเองไม่สามารถสร้าง shell ได้จากการทดสอบ 50 ครั้ง ซึ่งคาดว่าเป็นความพยายามรุ่นแรกก่อนการทดสอบจริงกับเป้าหมายอย่างเต็มรูปแบบ

ELLIO ยังเตือนว่าแม้การโจมตีจะไม่สำเร็จ แต่ก็อาจทำให้โปรเซสเป้าหมายหยุดทำงาน ซึ่งสามารถนำไปใช้ในการโจมตีแบบ denial-of-service (DoS) ได้

Broadcom แจ้งเตือนช่องโหว่ใน VMware

Broadcom แจ้งเตือน เมื่อวันที่ 27 ตุลาคมว่า SDDC Manager ใน VMware Cloud Foundation และ vSphere Foundation ได้รับผลกระทบจาก CVE-2026-111497 เนื่องจากการใช้งาน Node.js

บริษัทให้ระดับความรุนแรงในระดับวิกฤต (critical) ด้วยคะแนน CVSS 9.8 สำหรับ SDDC Manager 9.1.1 และระดับสำคัญ (important) สำหรับเวอร์ชันอื่นที่เกี่ยวข้อง โดยระบุว่าผู้ไม่หวังดีที่เข้าถึงเครือข่ายได้อาจใช้ประโยชน์จากช่องโหว่นี้เพื่อรันโค้ดอันตราย

ขณะนี้กำลังอยู่ระหว่างรอการอัปเดตแก้ไข โดย Broadcom ได้เผยแพร่วิธีการแก้ไขเบื้องต้น (workarounds) ในบทความฐานความรู้แล้ว ทั้งนี้ยังไม่มีรายงานการถูกโจมตีจริงในส่วนของผลิตภัณฑ์ VMware ในขณะนี้