Nodejs Update: Node.js schließt zehn Sicherheitslücken, darunter eine Lücke zur Codeausführung

• Das Node.js-Projekt hat am 21. Oktober 2026 Sicherheitsupdates für alle unterstützten Versionslinien veröffentlicht: Node.js 22.23.4, 24.22.1 und 26.12.1.
• Die Updates schließen zehn Sicherheitslücken, davon vier mit hoher, drei mit mittlerer und drei mit niedriger Schwere.
• Die schwerste Lücke CVE-2026-111497 im Brotli-Decoder kann laut Node.js das Ausführen von Schadcode ermöglichen, drei weitere hohe Lücken betreffen die Prüfung von TLS-Zertifikaten und die Verarbeitung von DNS-Namen.
• Versionen ohne Support erhalten keine Korrektur und sollten auf eine unterstützte Version umgestellt werden.
• Aktive Angriffe auf die Lücken sind bisher nicht bekannt, das Update sollte trotzdem zeitnah eingespielt werden.

Das Nodejs Update vom 21. Oktober 2026 schließt zehn Sicherheitslücken in allen drei unterstützten Versionslinien von Node.js. Vier Lücken stuft das Node.js-Projekt als hoch ein, drei als mittel und drei als niedrig. Die korrigierten Versionen sind Node.js 22.23.4, 24.22.1 und 26.12.1. Unternehmen, die Node.js auf Servern, in Containern oder in eigenen Anwendungen einsetzen, sollten das Update zeitnah einspielen.

Am selben Tag ist auch ein außerplanmäßiges Update für PHP erschienen. Die PHP-Lücken werden bereits aktiv ausgenutzt und sind deutlich dringender. Was dort zu tun ist, beschreiben wir in unserem Beitrag zum PHP Update gegen die PHP2Shell-Lücken.

Die schwerste Lücke ist CVE-2026-111497 im Brotli-Decoder von Node.js. Brotli ist ein verbreitetes Kompressionsverfahren, das zum Beispiel beim Austausch von Daten über HTTP genutzt wird. Laut Node.js kann der Decoder bei präparierten Daten außerhalb seines Speicherbereichs schreiben, was das Ausführen von Schadcode ermöglichen kann. Gefährdet sind vor allem Anwendungen, die komprimierte Daten aus nicht vertrauenswürdigen Quellen entpacken.

Die übrigen Lücken mit hoher Schwere:

• CVE-2026-105483 und CVE-2026-106069: Die Prüfung des Hostnamens in TLS-Zertifikaten lässt sich mit ungewöhnlichen Schreibweisen von IP-Adressen umgehen. Das schwächt den Schutz verschlüsselter Verbindungen gegen gefälschte Gegenstellen.
• CVE-2026-105482: ein Fehler bei der Verarbeitung von DNS-Namen.

Dazu kommen unter anderem eine weitere Schwäche bei der Zertifikatsprüfung für IPv4-Adressen, ein Fehler bei Keep-Alive-Verbindungen und ein Problem mit Zufallswerten: Unter bestimmten Umständen liefern crypto.randomUUID() und randomInt() in jedem Prozess dieselben Werte, wenn Anwendungen als Startup-Snapshot oder als Single Executable Application gebaut werden. Außerdem entfernt das Update das Vertrauen in die kompromittierten Zertifikate von eMudhra und aktualisiert mitgelieferte Bibliotheken wie OpenSSL und c-ares.

Nach derzeitigem Stand nicht. Uns sind keine Berichte über aktive Angriffe oder öffentlich verfügbaren Angriffscode bekannt. Die Lage ist damit eine andere als bei PHP. Erfahrungsgemäß werden Lücken dieser Art nach der Veröffentlichung aber schnell analysiert. Ein zügiges Update im regulären Wartungsfenster ist deshalb sinnvoll, bei öffentlich erreichbaren Diensten besser noch früher.

Betroffen sind alle Versionen vor den korrigierten Ständen. Je nach eingesetzter Versionslinie sollten Sie mindestens diese Version installieren:

• Node.js 26 (aktuelle Version): 26.12.1
• Node.js 24 (LTS): 24.22.1
• Node.js 22 (LTS): 22.23.4

Versionslinien ohne Support, etwa Node.js 20 und älter, erhalten keine Korrektur. Wer solche Versionen noch einsetzt, sollte auf eine unterstützte LTS-Version umstellen. Einzelne Linux-Distributionen übernehmen Korrekturen als Backport in ihre eigenen Pakete, dann ist der Paketstand laut Sicherheitshinweis des Herstellers entscheidend und nicht die angezeigte Versionsnummer.

Node.js steckt oft an Stellen, an die man nicht sofort denkt. Typische Fundstellen sind:

• eigene Webanwendungen, APIs und Microservices
• Container-Images, die Node.js als Basis enthalten
• Build-Server und CI/CD-Pipelines
• Entwicklerrechner mit lokal installiertem Node.js
• Desktop-Anwendungen auf Basis von Electron, die eine eigene Node.js-Version mitbringen
• Werkzeuge und Appliances von Herstellern, die Node.js intern nutzen

Für mitgelieferte Node.js-Versionen in Software von Drittanbietern hilft nur ein Update des Herstellers. Hier lohnt sich eine kurze Nachfrage. Wenn Ihre Geräte in Microsoft Defender for Endpoint eingebunden sind, hilft das Software-Inventar beim Auffinden installierter Node.js-Versionen. Wie Sie solche Abgleiche dauerhaft automatisieren, beschreiben wir im Beitrag zum Schwachstellenmanagement mit Microsoft 365.

1. Alle Systeme mit Node.js erfassen, mit Version, Installationsweg (Paketquelle, Versionsmanager wie nvm, Container-Image) und Verantwortlichem.
2. Die passende korrigierte Version installieren und laufende Node.js-Prozesse neu starten. Ein neues Paket wirkt erst, wenn die Anwendung mit der neuen Version läuft.
3. Bei Containern das Basis-Image aktualisieren, neu bauen und ausrollen.
4. Anwendungen, die als Startup-Snapshot oder Single Executable Application gebaut wurden, mit der neuen Version neu erstellen.
5. Die Funktion testen und den Stand dokumentieren.

Dass Sicherheitsupdates immer häufiger und in kürzeren Abständen kommen, ist kein Zufall. Warum ein strukturiertes Patch Management heute Pflicht ist, haben wir gesondert eingeordnet.

Als Microsoft Solutions Partner für Security unterstützt die InSys AG^® Unternehmen dabei, Schwachstellen wie diese im eigenen Bestand schnell zu finden und einzuordnen. Mit Microsoft Defender XDR behalten Sie installierte Software und offene Schwachstellen zentral im Blick. Mehr zu unserem Ansatz finden Sie unter Microsoft 365 Security und Managed Security. Sie erreichen uns telefonisch unter +49 (521) 260105-0 oder über das Kontaktformular am Ende dieser Seite.