← Все новости

Безопасность ·

Две критические уязвимости в Wasmtime позволяют WebAssembly-модулю выйти из песочницыTwo critical Wasmtime flaws let WebAssembly modules escape the sandbox

CVE-2026-115889 и CVE-2026-115893 с оценкой CVSS 9.9 ломают главную гарантию WebAssembly — изоляцию. Исправления вышли в Wasmtime 36.0.19, 48.0.7, 49.0.4 и 50.0.0; обходных путей нет, приложения со встроенным Wasmtime нужно пересобрать.CVE-2026-115889 and CVE-2026-115893, rated CVSS 9.9, break WebAssembly's core guarantee — isolation. Fixes are in Wasmtime 36.0.19, 48.0.7, 49.0.4 and 50.0.0; there are no workarounds and apps embedding Wasmtime must be rebuilt.

Bytecode Alliance исправила две уязвимости в Wasmtime — популярном рантайме WebAssembly, который используют в serverless-платформах, плагин-системах и edge-вычислениях именно ради изоляции недоверенного кода.

Уязвимости

  • CVE-2026-115889 (все архитектуры): переполнение 24-битного поля в компиляторе Cranelift приводит к путанице типов и выходу из песочницы.
  • CVE-2026-115893 (только ARM64): переход br_table с дальностью около 1 МиБ можно направить на произвольный код.

Обе оценены в CVSS 9.9. Атак в дикой природе не зафиксировано, в KEV их нет.

Исправленные версии

36.0.19, 48.0.7, 49.0.4 и 50.0.0. LTS-ветка 24.x больше не поддерживается и исправления не получит. На ARM64 уязвимы в том числе 36.0.7, 42.0.2 и 43.0.1.

Что делать

Обходных путей нет. Если ваш сервис выполняет чужие Wasm-модули через Wasmtime — обновите зависимость и пересоберите все приложения, где рантайм встроен как библиотека (cargo update -p wasmtime). Отдельно проверьте ARM64-сборки и сторонние продукты, которые используют Wasmtime под капотом.

The Bytecode Alliance fixed two vulnerabilities in Wasmtime, a popular WebAssembly runtime used by serverless platforms, plugin systems and edge computing precisely to isolate untrusted code.

The flaws

  • CVE-2026-115889 (all architectures): a 24-bit field overflow in the Cranelift compiler causes type confusion and a sandbox escape.
  • CVE-2026-115893 (ARM64 only): a br_table jump with roughly 1 MiB reach can be steered to arbitrary code.

Both are rated CVSS 9.9. No in-the-wild attacks are known and neither is in KEV.

Fixed versions

36.0.19, 48.0.7, 49.0.4 and 50.0.0. The 24.x LTS line is end-of-life and gets no fix. On ARM64, 36.0.7, 42.0.2 and 43.0.1 are also affected.

What to do

There are no workarounds. If your service runs third-party Wasm modules on Wasmtime, update the dependency and rebuild every application that embeds the runtime as a library (cargo update -p wasmtime). Check ARM64 builds separately, along with third-party products that use Wasmtime under the hood.

Источники