Cisco предупредила об уязвимостях в Node.js и декодере Brotli, затрагивающих её продукты: критичный out-of-bounds write грозит удалённым выполнением кода, а две ошибки в TLS позволяют обойти проверку хоста и перехватить трафик.
Мнение эксперта
- Для российского рынка риск выше: обновления Cisco идут по каналу вендора, а в самосборных дистрибутивах на базе Node.js (включая отечественные сборки) патч может задержаться — стоит проверить версии Node.js и Google Brotli-декодера в своих решениях.
- Практический вывод: включите CVE-2026-111497 и TLS-обходы в план регламентного обновления, а до патча ограничьте доступ к интерфейсам на Node.js и усильте мониторинг аномалий TLS на периметре.
- Случай удачный повод пересмотреть состав ПО на объектах: если продукт не указан в бюллетене, Cisco считает его неуязвимым, но встроенные сторонние библиотеки у заказчика всё равно надо инвентаризировать.
