Node.js schließt zehn Sicherheitslücken – auch hier lohnt der Blick auf versteckte Installationen

Während alle Welt auf PHP2Shell schaut, hat das Node.js-Projekt still und leise eine Reihe von Sicherheitslücken geschlossen. Node.js ist die Laufzeitumgebung, mit der JavaScript auf Servern ausgeführt wird – und damit die Grundlage vieler moderner Webseiten, Portale und Automatisierungswerkzeuge.

Die Updates sind kein Grund zur Panik, sollten aber nicht untergehen. Denn wie bei PHP gilt: Node.js läuft oft an Stellen, an die niemand denkt.

Was behoben wurde

• Codeausführung über den Brotli-Decoder (CVE-2026-111497, high): Ein Speicherfehler beim Entpacken von Daten im Kompressionsformat Brotli kann es Angreifern ermöglichen, eigenen Code auszuführen. Relevant ist das für Anwendungen, die Brotli-komprimierte Daten von außen entgegennehmen und mit Node.js entpacken. Betroffen sind 22.x, 24.x und 26.x.
• Umgehung der Zertifikatsprüfung bei TLS (CVE-2026-105483 und CVE-2026-106069, high): Unter bestimmten Bedingungen prüft Node.js nicht korrekt, ob ein Serverzertifikat zum angefragten Namen oder zur IP-Adresse passt. Das betrifft vor allem Verbindungen, die eine Anwendung selbst nach außen aufbaut, etwa zu Schnittstellen anderer Dienste. Im schlimmsten Fall kann sich ein Angreifer dazwischenschalten.
• Fehler bei der DNS-Auflösung (CVE-2026-105482, high): Hostnamen mit einem bestimmten Steuerzeichen werden abgeschnitten aufgelöst. Das kann dazu führen, dass eine Anwendung einen anderen Server anspricht als beabsichtigt.
• Weitere Lücken (medium und low): Darunter ein Fehler bei Keep-alive-Verbindungen, sich wiederholende Zufallswerte in der Kryptografie sowie Umgehungen des Berechtigungsmodells von Node.js.

Einordnung: wichtig, aber kein zweites PHP2Shell

Die Updates erscheinen zeitgleich mit der weltweiten Angriffswelle auf PHP-Server durch PHP2Shell. Ein direkter Vergleich wäre aber irreführend: Keine der Node.js-Lücken ist als kritisch eingestuft, und eine aktive Ausnutzung ist nicht bekannt. Während PHP2Shell jede PHP-Anwendung angreifbar macht, setzt die schwerwiegendste Node.js-Lücke voraus, dass eine Anwendung bestimmte komprimierte Daten von außen verarbeitet. Die Updates sollten daher zeitnah, aber geordnet eingespielt werden – kein Grund, Systeme vom Netz zu nehmen.

Wo Node.js läuft, ohne dass es jemand weiß

Node.js ist längst nicht nur ein Werkzeug für Entwickler. Es steckt in vielen Systemen, die im Mittelstand und in Kommunen im Einsatz sind: moderne Webseiten und Portale auf Basis von Nuxt oder Next.js, Automatisierungswerkzeuge wie Node-RED oder n8n, Monitoring-Lösungen, interne Tools und Dashboards. Dazu kommen Hersteller, die Node.js direkt in ihre Software einbauen. In diesem Fall bringt erst ein Update des Herstellers die korrigierte Version mit.

Was jetzt zu tun ist

1. Bestand aufnehmen: Wo läuft Node.js – auf eigenen Servern, in Containern, als Teil von Webseiten oder in Software von Herstellern?
2. Eigene Installationen aktualisieren: Auf 22.23.4, 24.22.1 oder 26.12.1, je nach Versionslinie. Danach die Anwendungen neu starten.
3. Container neu bauen: Basis-Images auf die korrigierte Version anheben, neu bauen und ausrollen. Ein älteres Image wird nicht von selbst aktualisiert.
4. Dienstleister und Hersteller fragen: Bei Webseiten, Portalen und Fachanwendungen mit Node.js nachfragen, ob und wann aktualisiert wird.
5. Next.js separat prüfen: Unabhängig von Node.js hat das Framework Next.js am 14. Oktober zwei kritische Lücken geschlossen, darunter eine Codeausführung über die Bildoptimierung (CVE-2026-96889). Next.js-Anwendungen sollten mindestens auf 15.5.28 bzw. 16.4.1 stehen.

node -v

# Wo liegt das verwendete Node.js?
which node

node -v

# Alle Node.js-Installationen auf dem Server finden, auch in Software anderer Hersteller
Get-ChildItem -Path C:\, D:\ -Filter node.exe -Recurse -ErrorAction SilentlyContinue |
    Select-Object FullName, @{ n = 'Version'; e = { $_.VersionInfo.ProductVersion } }

# Version im laufenden Container pruefen
docker exec <container> node -v

Quellen & weiterführende Links

• heise online

  Node.js fixt eigene und geerbte Sicherheitslücken (21.10.2026)
• Node.js

  Wednesday, October 21, 2026 Security Releases
• Cyber Security News

  Node.js Releases Security Updates to Fix High-Severity TLS, DNS, and Brotli Vulnerabilities
• Brandefense

  Next.js and Node.js Security Updates, October 2026

Recherchestand: 22. Oktober 2026.