CVE-2026-44007 是一个远程代码执行 (RCE) 漏洞，影响 Node.js 的 vm2 库。该漏洞源于 vm2 在嵌套 VM 配置下的安全控制缺失，允许沙箱代码绕过外层 VM 的 require 限制，从而执行任意操作系统命令。受影响的版本包括 0.0.0 到 3.11.1 之前的版本。建议立即升级至 3.11.1 版本以修复此漏洞。
影响与攻击场景
该漏洞的潜在影响极其严重。攻击者可以利用此漏洞在宿主机上执行任意代码，从而完全控制受影响的系统。攻击者可以窃取敏感数据、安装恶意软件、进行横向移动，甚至完全接管整个网络。由于 vm2 广泛应用于 Node.js 应用中，以隔离和运行不受信任的代码，因此该漏洞的攻击面非常广阔。类似于某些沙箱逃逸漏洞，攻击者可以利用此漏洞绕过安全措施，直接访问宿主机资源。如果攻击者能够成功利用此漏洞，可能导致数据泄露、服务中断以及严重的声誉损失。
利用背景
该漏洞已公开披露，且由于其严重性和易于利用性，可能成为攻击者的目标。目前尚无公开的漏洞利用代码，但考虑到漏洞的严重性，预计未来会出现。该漏洞尚未被列入 KEV，但 EPSS 评分预计为高，表明存在高概率被利用。请密切关注 CISA 和 NVD 的更新，以获取最新的安全信息。
威胁情报
漏洞利用状态
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 低 — 无需特殊条件，可以稳定地利用漏洞。
- Privileges Required
- 高 — 需要管理员或特权账户。
- User Interaction
- 无 — 攻击自动且无声，受害者无需任何操作。
- Scope
- 已改变 — 攻击可以超出脆弱组件，影响其他系统。
- Confidentiality
- 高 — 完全丧失机密性，攻击者可读取所有数据。
- Integrity
- 高 — 攻击者可写入、修改或删除任何数据。
- Availability
- 高 — 完全崩溃或资源耗尽，完全拒绝服务。
受影响的软件
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
缓解措施和替代方案
最有效的缓解措施是立即升级至 vm2 3.11.1 或更高版本。如果升级会导致应用程序中断，可以考虑暂时禁用嵌套 VM 功能 (设置 nesting: false)。此外，可以利用 Web 应用防火墙 (WAF) 或代理服务器来过滤恶意请求，并限制沙箱代码的访问权限。监控系统日志，查找与 vm2 相关的异常活动，例如尝试加载 vm2 模块的请求。如果无法立即升级，请确保外层 VM 的 require: false 配置得到严格遵守，并限制沙箱代码的权限。
修复方法翻译中…
Actualice a la versión 3.11.1 o superior de la biblioteca vm2. Esta versión corrige la vulnerabilidad al asegurar que la opción 'require: false' se aplique correctamente, evitando la ejecución de código arbitrario fuera del sandbox.
常见问题
什么是 CVE-2026-44007 — RCE in vm2 Node.js Sandbox?
CVE-2026-44007 是一个远程代码执行漏洞，影响 Node.js 的 vm2 库。攻击者可以利用嵌套 VM 配置执行任意操作系统命令，完全控制宿主机。
我是否受到 CVE-2026-44007 in vm2 Node.js Sandbox 的影响?
如果您正在使用 vm2 库的版本低于 3.11.1，并且启用了嵌套 VM 功能，则您可能受到此漏洞的影响。请立即检查您的版本并升级。
如何修复 CVE-2026-44007 in vm2 Node.js Sandbox?
最有效的修复方法是升级至 vm2 3.11.1 或更高版本。如果升级会导致应用程序中断，可以考虑暂时禁用嵌套 VM 功能。
CVE-2026-44007 是否正在被积极利用?
虽然目前尚无公开的漏洞利用代码，但由于漏洞的严重性和易于利用性，预计未来会出现。请密切关注安全更新。
在哪里可以找到官方 vm2 advisory for CVE-2026-44007?
请访问 vm2 的 GitHub 仓库或相关安全公告网站，以获取官方 advisory 信息。通常可以在 GitHub 的 release notes 或安全公告页面找到相关信息。
立即试用 — 无需账户
上传任何清单文件 (composer.lock, package-lock.json, WordPress 插件列表…) 或粘贴您的组件列表。您立即获得一份漏洞报告。上传文件只是开始：拥有账户后，您将获得持续监控、Slack/电子邮件警报、多项目和白标报告。
拖放您的依赖文件
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...