Se ha detectado una vulnerabilidad crítica (CVE-2026-26956) en la librería vm2 de Node.js que permite ejecutar código arbitrario en el sistema anfitrión al evadir el entorno aislado (sandbox). El fallo afecta principalmente a Node.js 25 con soporte de WebAssembly y ya existe un código de explotación (PoC) disponible. Se recomienda a los usuarios actualizar urgentemente a la versión 3.10.5 o superior para mitigar este riesgo.



Una vulnerabilidad crítica en la popular biblioteca de sandboxing de Node.js vm2 permite escapar del sandbox y ejecutar código arbitrario en el sistema anfitrión.

El problema de seguridad está registrado como CVE-2026-26956 y se ha confirmado que afecta a la versión 3.10.4 de vm2, aunque versiones anteriores también podrían ser vulnerables. Se ha publicado un código de exploit de prueba de concepto (PoC).

En el aviso de seguridad, el mantenedor indica que el problema solo afecta a entornos con Node.js 25 (confirmado en Node.js 25.6.1) que tengan habilitado el manejo de excepciones de WebAssembly y el soporte de JSTag.

vm2 es una biblioteca de Node.js de código abierto utilizada para ejecutar código JavaScript no confiable dentro de un entorno de sandbox restringido. Es comúnmente empleada por plataformas de codificación en línea, herramientas de automatización y aplicaciones SaaS que ejecutan scripts proporcionados por el usuario.

La biblioteca intenta aislar el código del sandbox del sistema anfitrión y bloquear el acceso a APIs sensibles de Node.js como process y el sistema de archivos.

vm2 es ampliamente utilizada, con más de 1,3 millones de descargas semanales en npm (Node Package Manager), el administrador de paquetes predeterminado de línea de comandos para Node.js.

El CVE-2026-26956 se deriva del manejo erróneo de las excepciones que cruzan entre el entorno del sandbox y el anfitrión.

El aviso explica en GitHub que vm2 normalmente depende de protecciones a nivel de JavaScript que salvaguardan contra errores basados en el anfitrión y Proxies puente que envuelven objetos entre contextos, ambos ejecutándose enteramente dentro de JavaScript.

Sin embargo, el manejo de excepciones de WebAssembly puede interceptar errores de JavaScript a un nivel inferior dentro del motor V8 de Google, evadiendo las defensas de seguridad basadas en JavaScript de vm2.

Al provocar un TypeError especialmente diseñado utilizando la conversión de Símbolo a cadena, los atacantes pueden causar que un objeto de error del lado del anfitrión se filtre de vuelta al sandbox sin ser saneado por vm2.

Debido a que el objeto filtrado se origina en el entorno del anfitrión, los atacantes pueden abusar de su cadena de constructores para recuperar el acceso a los internos de Node.js como el objeto process, permitiendo finalmente la ejecución de comandos arbitrarios en el sistema anfitrión.

El aviso de seguridad del mantenedor también incluye un exploit PoC que demuestra la ejecución remota de código en la máquina anfitriona.

Se recomienda a los usuarios de vm2 actualizar a la versión 3.10.5 o posterior (la más reciente es 3.11.2) lo antes posible para mitigar el riesgo de explotación del CVE-2026-26956.

A principios de año, vm2 se vio afectada por otra falla crítica de escape de sandbox que podría conducir a la ejecución de código arbitrario en el sistema anfitrión subyacente, registrada como CVE-2026-22709.

Otras fallas anteriores de escape de sandbox que afectaron a la misma biblioteca incluyen CVE-2023-30547, CVE-2023-29017 y CVE-2022-36067, lo que refleja el desafío de aislar de forma segura el código no confiable en entornos de sandbox de JavaScript.

Fuente:
BleepingComputer