Se han publicado varias vulnerabilidades críticas en vm2, una librería muy usada para ejecutar JavaScript no confiable en Node.js, que permiten escapar del sandbox y lograr ejecución de código en el sistema anfitrión. Hay correcciones disponibles y la recomendación general es actualizar a vm2 3.11.2, con especial urgencia en entornos expuestos a código de usuarios o automatizaciones.
En muchos productos modernos, desde plataformas de automatización hasta sistemas de plugins y entornos tipo REPL, es habitual permitir que usuarios o integraciones ejecuten pequeños fragmentos de JavaScript. Para intentar hacerlo de forma segura, numerosos equipos confían en vm2, una librería de Node.js diseñada para aislar ese código dentro de un sandbox. El problema es que se han divulgado múltiples fallos críticos que rompen precisamente esa promesa de aislamiento, permitiendo que un atacante atraviese la barrera y ejecute código con los permisos del proceso del host, un escenario de alto impacto cuando el servicio gestiona secretos, credenciales, tokens o tiene acceso a red interna.
La divulgación agrupa varios vectores de escape en distintas versiones de la rama 3.x. Entre ellos, CVE-2026-24118 describe un escape mediante lookupGetter con capacidad de llegar a ejecución arbitraria, afectando a 3.10.4 e inferiores y quedando corregido en 3.11.0. CVE-2026-24120 es especialmente sensible porque evita un parche anterior relacionado con CVE-2023-37466 aprovechando la propiedad species de las promesas, lo que vuelve a abrir la puerta a ejecutar comandos, afectando a 3.10.3 e inferiores y solucionándose en 3.10.5. También se han publicado escapes que explotan superficies aparentemente ‘auxiliares’, como inspect en CVE-2026-24781 o SuppressedError en CVE-2026-26332, ambos corregidos en 3.11.0 para versiones 3.10.4 e inferiores.
Uno de los casos más comentados es CVE-2026-26956, catalogado como un fallo del mecanismo de protección. Afecta a vm2 3.10.4 y se corrigió en 3.10.5, con confirmación del problema en Node.js 25.6.1 sobre Linux x64. Este vector depende de características concretas de WebAssembly, en particular el manejo de excepciones y el soporte de WebAssembly.JSTag. El ataque aprovecha la instrucción try_table para capturar excepciones de JavaScript por debajo del nivel de JavaScript, en la capa C++ de V8, y convertir un error en un retorno ‘normal’. De este modo se eluden dos defensas centrales de vm2, el transformador que intenta envolver y sanear errores del host, y los proxies puente que encapsulan objetos entre contextos.
En la práctica, el concepto de explotación descrito provoca un TypeError del host durante el formateo de la pila al forzar la coerción de Symbol a string. Ese error del host entra al sandbox sin el saneamiento esperado y, a partir de ahí, el atacante encadena accesos como hostError.constructor.constructor para obtener el Function del host, recuperar process y terminar ejecutando comandos mediante child_process. Esto encaja con el riesgo típico de los escapes de sandbox, no se trata solo de ‘leer algo’, sino de convertir el sandbox en una vía para ejecutar órdenes del sistema y pivotar hacia otros activos.
La lista incluye además fallos como CVE-2026-43997, una inyección de código que permite obtener el Object del host, y CVE-2026-43999, que permite saltarse la allowlist de NodeVM y cargar módulos built-in que el host pretendía bloquear, incluyendo child_process, ambos corregidos en 3.11.0. Otros defectos amplían la superficie con escapes y efectos secundarios como prototype pollution, caso de CVE-2026-44005, que afecta a 3.9.6 a 3.10.5 y queda corregido en 3.11.0, así como CVE-2026-44006, también corregido en 3.11.0.
Mención aparte merece CVE-2026-44007, que se materializa cuando se usa NodeVM con nesting: true. En esa configuración, el código dentro del sandbox puede llegar a ejecutar require(‘vm2’) incluso si el host configuró require: false o allowlists estrictas, y luego crear una NodeVM interna con una política de require distinta para alcanzar child_process. La corrección en 3.11.1 endurece el comportamiento haciendo que la combinación { nesting: true, require: false } falle en construcción, y deja claro un punto clave para defensores, nesting: true funciona como una vía de escape deliberada, porque una VM anidada no queda limitada por la política de módulos de la VM exterior. La cadena de parches se completa con CVE-2026-44008 y CVE-2026-44009, escapando por rutas como neutralizeArraySpeciesBatch() o una excepción con proto nulo, ambas corregidas en 3.11.2.
Dado el uso extendido de vm2, con más de 1,3 millones de descargas semanales en npm, la prioridad para equipos de seguridad es doble. Por un lado, actualizar cuanto antes a vm2 3.11.2, que reúne las correcciones más recientes. Si no es posible hacerlo de inmediato, conviene como mínimo saltar a las primeras versiones que corrigen cada familia de fallos, por ejemplo 3.10.5 para CVE-2026-26956 y CVE-2026-24120, 3.11.0 para varios escapes críticos, y 3.11.1 para el caso de CVE-2026-44007 si existe uso de anidamiento. Por otro lado, es esencial inventariar dónde se ejecuta JavaScript no confiable, incluyendo dependencias transitivas, y priorizar servicios que permitan scripts de usuarios o automatizaciones externas.
Además de parchear, conviene reducir la exposición estructural. Si se utiliza NodeVM, hay que revisar allowlists y bloquear rutas que puedan alcanzar child_process, pero sin asumir que require: false es un aislamiento suficiente si se habilita nesting: true. En general, el enfoque recomendado es defensa en profundidad, ejecutar código no confiable en un proceso o contenedor separado y efímero, con privilegios mínimos, sin secretos accesibles y con restricciones de red, asumiendo que un escape a nivel de proceso es viable. En paralelo, los despliegues sobre Node.js 25 merecen una mitigación prioritaria por su relación directa con el vector descrito para CVE-2026-26956. En entornos SaaS, estas medidas marcan la diferencia entre un incidente acotado y una intrusión con movimiento lateral dentro de la infraestructura.
Más información
- The Hacker News – vm2 Node.js Library Vulnerabilities Enable Sandbox Escape and Arbitrary Code Execution : https://thehackernews.com/2026/05/vm2-nodejs-library-vulnerabilities.html
- BleepingComputer – Critical vm2 sandbox bug lets attackers execute code on hosts : https://www.bleepingcomputer.com/news/security/critical-vm2-sandbox-bug-lets-attackers-execute-code-on-hosts/
- OSV.dev – VM2 Has a WASM Sandbox Escape (Node 25 only) (GHSA-ffh4-j6h5-pg66, CVE-2026-26956) : https://osv.dev/vulnerability/GHSA-ffh4-j6h5-pg66
- oss-sec (seclists.org) – oss-sec: vm2: sandbox escape in NodeVM with nesting:true (CVE-2026-44007) : https://seclists.org/oss-sec/2026/q2/412
- GitHub Security Advisory (patriksimek/vm2) – nesting: true bypasses require: false, allowing sandbox escape to arbitrary OS command execution (GHSA-8hg8-63c5-gwmx, CVE-2026-44007) : https://github.com/patriksimek/vm2/security/advisories/GHSA-8hg8-63c5-gwmx
- GitHub Releases (patriksimek/vm2) – Release v3.11.1 : https://github.com/patriksimek/vm2/releases/tag/v3.11.1
Deja una respuesta