Badacze bezpieczeństwa z firmy Imperva zaprezentowali dowód słuszności koncepcji o nazwie Node2Shell. Atak wykorzystuje lukę w oficjalnym obrazie Node.js w wersji 24.22.0 dla architektury Linux arm64. Złośliwe działanie nie wymaga użycia debugera ani niestandardowej kompilacji środowiska.
Podstawą ataku jest dostarczenie spreparowanych danych wejściowych do wbudowanego w środowisko dekodera kompresji Brotli. Podatność ta została oznaczona identyfikatorem CVE-2026-111497, a szczegóły usterki ujawnili sami twórcy Node.js.
