В Bubble сообщили об отсутствии угрозы для клиентов из-за уязвимостей Node.js и PHP

Уязвимости Node.js и PHP, о которых стало известно на этой неделе, не дали способов доступа к данным клиентов или получения расширенных привилегий, и признаков эксплуатации с момента раскрытия информации не обнаружено.

В Bubble сообщили об отсутствии угрозы для клиентов из-за уязвимостей Node.js и PHP. Фото: из архива компании

Как пояснили в компании, 21 октября Node.js выпустил исправления для нескольких уязвимостей, включая CVE-2026-111497 (Node2Shell), и поскольку часть платформы Bubble работает на Node.js, команда разработчиков проверила все уязвимости из релиза на возможность их использования в Bubble и выпустила соответствующие обновления.

В тот же день PHP выпустил исправления для двух критических уязвимостей CVE-2026-109618 и CVE-2026-109619 (PHP2Shell); Bubble не использует PHP, поэтому прямой угрозы не было, но основной поставщик инфраструктуры подтвердил, что используемые сервисы не затронуты, а другие критически важные поставщики также не сообщили о каком-либо влиянии на Bubble или приложения клиентов.

От пользователей Bubble не требуется никаких действий, команда компании продолжит наблюдение и будет предоставлять обновления при изменениях, говорится в сообщении.

В Bubble подчеркнули, что ни одно программное обеспечение не застраховано от подобных уязвимостей, а поддержание работоспособности приложения после запуска — часть миссии компании по обеспечению доступности разработки, поскольку безопасность, хостинг и инфраструктура уже включены в платформу; при инциденте, затрагивающем Bubble, команды разработчиков и специалистов по безопасности ответственно подходят к ситуации, и клиенты могут рассчитывать на информирование о произошедшем.