CVE-2026-44005

CVE-2026-44005 betrifft das vm2-Projekt, eine Sandbox für Node.js, spezifisch die Versionen 3.9.6 bis 3.10.5. Die Schwachstelle ermöglicht es Angreifern, die im Sandbox-Kontext ausgeführtes JavaScript kontrollieren, die Prototypen von Host-Objekten wie Object.prototype, Array.prototype und Function.prototype zu manipulieren. Dies kann zu einer Umgehung der Sandbox und potenziell zur Ausführung von Code außerhalb der isolierten Umgebung führen. Die Schwachstelle wurde in Version 3.11.0 behoben. Mit einem CVSS-Score von 10.0 wird diese Schwachstelle als kritisch eingestuft, was auf ein maximales Risiko hinweist. Obwohl die EPSS-Rate mit 1% derzeit niedrig ist, was auf eine geringe Wahrscheinlichkeit einer Ausnutzung hindeutet, ist die potenzielle Auswirkung bei erfolgreicher Ausnutzung erheblich. Die Schwachstelle ist derzeit nicht im CISA KEV-Katalog gelistet, was bedeutet, dass sie noch nicht aktiv von staatlich gesponserten Bedrohungsakteuren ausgenutzt wird. Sicherheitsteams sollten umgehend alle betroffenen vm2-Installationen auf Version 3.11.0 oder höher aktualisieren, um das Risiko zu minimieren. Eine Priorisierung dieser Maßnahme ist aufgrund der kritischen Bewertung und der Möglichkeit einer Sandbox-Umgehung dringend erforderlich. Kontinuierliches Monitoring der EPSS-Werte und des CISA KEV-Katalogs wird empfohlen.