Mittel28 / 100Konfidenz: Mittel

CVSS10.0EPSS1 %Über Netz erreichbarOhne AnmeldungOhne Zutun des Nutzers

Umgehende Aktualisierung von vm2 auf die neueste sichere Version.

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 10.0+18
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-24118, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Darunter eine behoerdliche Primaerquelle
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
4 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2026-22709, CVE-2026-44000, CVE-2026-44002, CVE-2026-44003

Bewertung v1.1, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-08-06 09:42 UTCMethodik

Red Team

[UPDATE] [kritisch] vm2: Mehrere Schwachstellen

CERT-Bund·6. August 2026, 09:42

Originalartikel lesen bei CERT-Bund

Mehrere kritische Schwachstellen in vm2 ermöglichen Angreifern die Ausführung beliebigen Codes, Denial-of-Service-Angriffe, Informationsdiebstahl und das Umgehen von Sicherheitsmaßnahmen. Nutzer von vm2 sind betroffen und sollten umgehend Updates einspielen, um sich vor diesen Bedrohungen zu schützen.

SecBoard-Einordnung

Organisationen, die vm2 in ihren Anwendungen einsetzen, sind einem hohen Risiko ausgesetzt, da Angreifer die Kontrolle über Systeme übernehmen, Dienste unterbrechen oder sensible Daten stehlen könnten.

Realistisch schlimmster Fall: Angreifer könnten beliebigen Code auf Systemen ausführen, die vm2 verwenden, was zu einer vollständigen Kompromittierung des betroffenen Systems führen könnte.

Key Facts· 12 / 15

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-43997

CVSS: 10.0 · CRITICAL
EPSS: 1.0%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 3.11.0
Zuweisende CNA: security-advisories@github.com

CVE-2026-44005

CVSS: 10.0 · CRITICAL
EPSS: 0.8%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Integrität, Verfügbarkeit
Patch: 3.11.0
Zuweisende CNA: security-advisories@github.com

CVE-2026-44006

CVSS: 10.0 · CRITICAL
EPSS: 0.8%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 3.11.0

CVE-2026-43999

CVSS: 9.9 · CRITICAL
EPSS: 1.0%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 3.11.0
Zuweisende CNA: security-advisories@github.com

CVE-2026-24781

CVSS: 9.8 · CRITICAL
EPSS: 1.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt

CVE-2026-26956

CVSS: 9.8 · CRITICAL
EPSS: 0.9%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 3.10.5

CVE-2026-24118

CVSS: 9.8 · CRITICAL
EPSS: 0.9%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt

CVE-2026-24120

CVSS: 9.8 · CRITICAL
EPSS: 0.9%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt

CVE-2026-26332

CVSS: 9.8 · CRITICAL
EPSS: 0.7%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt

CVE-2026-44007

CVSS: 9.1 · CRITICAL
EPSS: 1.0%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 3.11.1
Zuweisende CNA: security-advisories@github.com

CVE-2026-44001

CVSS: 8.6 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: 3.11.0

CVE-2026-22709

Im Text genannt, liegt uns aber noch nicht vor.

Betroffen

Nutzer der JavaScript-Sandbox vm2 sind betroffen.

Hersteller

VM2 Project

Produkte

VM2

▸ CPE-Rohbezeichner anzeigen (1)

cpe:2.3:a:vm2_project:vm2:*:*:*:*:*:node.js:*:*

Prüfen

▸Überprüfen Sie alle Projekte und Abhängigkeiten auf die Verwendung von vm2 und identifizieren Sie die aktuell installierte Version.
▸Scannen Sie Ihre Systeme auf bekannte Schwachstellen in vm2-Installationen.

▸ 1 weitere

▸Überprüfen Sie die Protokolle auf ungewöhnliche Aktivitäten oder Code-Ausführungen in Umgebungen, die vm2 nutzen.

Offene Punkte

▸ anzeigen

▸Spezifische CVE-IDs der Schwachstellen sind im Artikel nicht genannt.
▸Details zu den betroffenen vm2-Versionen sind im Artikel nicht genannt.
▸Informationen zu den genauen Auswirkungen auf bestimmte Betriebssysteme oder Architekturen sind nicht spezifiziert.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Ja
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Ja
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

Haben wir Windows extern erreichbar?
Haben wir Oracle extern erreichbar?

MITRE ATT&CK(4)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1059Command and Scripting Interpreterzugeordnet

„ermöglichen Angreifern die Ausführung beliebigen Codes“

T1499Endpoint Denial of Servicezugeordnet

„Denial-of-Service-Angriffe“

T1530Data from Cloud Storagezugeordnet

„Informationsdiebstahl“

T1562Impair Defenseszugeordnet

„Umgehen von Sicherheitsmaßnahmen“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

[UPDATE] [kritisch] vm2: Mehrere Schwachstellen

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-43997 CVE-2026-44005 CVE-2026-44006 CVE-2026-43999 CVE-2026-24781 CVE-2026-26956 CVE-2026-24118 CVE-2026-24120 CVE-2026-26332 CVE-2026-44007 CVE-2026-44001 CVE-2026-22709 CVE-2026-44000 CVE-2026-44002 CVE-2026-44003

Themen

kritisch

Vollständigen Artikel lesen bei CERT-Bund

Erwähnte CVEs (12)

CVE-2026-43997CRITICAL(10.0)

EPSS 1.0%

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, it is possible to obtain the host Object. There are various ways to use the host Object, to escape the sandbox, one example would be using HostObject.getOwnPropertySymbols to obtain Symbol(nodejs.util.inspect.custom). This vulnerability is fixed in 3.11.0.

Details NVD

CVE-2026-44005CRITICAL(10.0)

EPSS 0.8%

vm2 is an open source vm/sandbox for Node.js. From 3.9.6 to 3.10.5, vm2's bridge exposes mutable proxies for real host-realm intrinsic prototypes and then forwards sandbox writes into the underlying host objects with otherReflectSet() and otherReflectDefineProperty(), which lets attacker-controlled JavaScript running in a default VM or inherited NodeVM mutate shared host Object.prototype, Array.prototype, and Function.prototype from inside the sandbox This vulnerability is fixed in 3.11.0.

Details NVD

CVE-2026-44006CRITICAL(10.0)

EPSS 0.8%

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, It is possible to reach BaseHandler.getPrototypeOf, which can be used to get arbitrary prototypes. This vulnerability is fixed in 3.11.0.

Details NVD

CVE-2026-43999CRITICAL(9.9)

EPSS 1.0%

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, NodeVM's builtin allowlist can be bypassed when the module builtin is allowed (including via the '*' wildcard). The module builtin exposes Node's Module._load(), which loads any module by name directly in the host context, completely bypassing vm2's builtin restriction. This allows sandboxed code to load excluded builtins like child_process and achieve remote code execution. This vulnerability is fixed in 3.11.0.

Details NVD

CVE-2026-24781CRITICAL(9.8)

EPSS 1.2%

vm2 is an open source vm/sandbox for Node.js. Prior to version 3.11.0, VM2 suffers from a sandbox breakout vulnerability through the inspect function. This allows attackers to write code which can escape from the VM2 sandbox and execute arbitrary commands on the host system. This issue has been patched in version 3.11.0.

Details NVD

CVE-2026-26956CRITICAL(9.8)

EPSS 0.9%

vm2 is an open source vm/sandbox for Node.js. In version 3.10.4, vm2 is vulnerable to full sandbox escape with arbitrary code execution. Attacker code inside VM.run() obtains host process object and runs host commands with zero host cooperation. This issue has been patched in version 3.10.5.

Details NVD

CVE-2026-24118CRITICAL(9.8)

EPSS 0.9%

vm2 is an open source vm/sandbox for Node.js. Prior to version 3.11.0, VM2 suffers from a sandbox breakout vulnerability. This allows attackers to write code which can escape from the VM2 sandbox and execute arbitrary commands on the host system. This issue has been patched in version 3.11.0.

Details NVD

CVE-2026-24120CRITICAL(9.8)

EPSS 0.9%

vm2 is an open source vm/sandbox for Node.js. Prior to version 3.10.5, the fix for CVE-2023-37466 is insufficient and can be circumvented allowing attackers to write code which can escape from the VM2 sandbox and execute arbitrary commands on the host system. This issue has been patched in version 3.10.5.

Details NVD

CVE-2026-26332CRITICAL(9.8)

EPSS 0.7%

vm2 is an open source vm/sandbox for Node.js. Prior to version 3.11.0, SuppressedError allows attackers to escape the sandbox and run arbitrary code. This issue has been patched in version 3.11.0.

Details NVD

CVE-2026-44007CRITICAL(9.1)

EPSS 1.0%

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.1, when a NodeVM is created with nesting: true, sandbox code can unconditionally require('vm2') regardless of the outer VM's require configuration — including require: false. With access to vm2, the sandbox constructs a new inner NodeVM with its own unrestricted require settings and executes arbitrary OS commands on the host. Any application that runs untrusted code inside a NodeVM with nesting: true is fully compromised. This vulnerability is fixed in 3.11.1.

Details NVD

CVE-2026-44001HIGH(8.6)

EPSS 0.4%

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, a sandbox escape vulnerability in vm2 v3.10.5 allows any sandboxed code to crash the host Node.js process via a single Promise constructor that triggers an unhandled rejection propagating to the host. The fix for CVE-2026-22709 (v3.10.2) only sanitized the onRejected callback in .then() and .catch() overrides and did not address the executor-to-unhandledRejection path. This vulnerability is fixed in 3.11.0.

Details NVD

CVE-2026-22709

Nicht in lokaler DB — siehe NVD

NVD