CVE-2026-26956 — 神龙十问 AI 深度分析摘要

🚨 **本质**：vm2 沙箱失效，WASM 逃逸。 💥 **后果**：任意代码执行，直接拿主机控制权。

🔍 **CWE**：CWE-693（保护机制失败）。 🐛 **缺陷**：沙箱隔离被突破，无法限制恶意代码。

📦 **组件**：patriksimek/vm2。 📉 **版本**：<= 3.10.4（Node.js 虚拟机库）。

👑 **权限**：获取主机进程对象。 📂 **数据**：无需协作执行主机命令，完全失控。

🚪 **门槛**：极低。 🔓 **条件**：无需认证、无需用户交互、网络可访问即可利用。

🧪 **Exp**：数据未提供具体 PoC 链接。 🌍 **在野**：未知，但 CVSS 满分风险极高，需警惕。

🔎 **自查**：检查 Node.js 依赖。 📋 **特征**：锁定 vm2 版本是否低于 3.10.5。

🛡️ **官方修复**：已修复。 ✅ **版本**：升级至 **3.10.5** 或更高。

⚠️ **临时规避**：若无补丁，**严禁**使用 vm2 执行不可信代码。 🚫 **替代**：考虑其他沙箱方案或容器隔离。

🔥 **优先级**：P0 紧急。 📈 **CVSS**：9.8（高危），立即升级补丁！