Am 21. Oktober 2026 hat das Node.js-Projekt ein Sicherheitsupdate veröffentlicht. Es schließt zehn Lücken, darunter eine, über die Angreifer eigenen Code ausführen können. Aktive Angriffe sind bisher nicht bekannt, das Update sollte trotzdem zeitnah eingespielt werden.
Wo Node.js eingesetzt wird
Node.js führt JavaScript außerhalb des Browsers aus. Es steckt in vielen Anwendungen, oft ohne dass man es sieht:
- Webanwendungen und Online-Dienste, etwa auf Basis von Next.js oder Express
- KI-Werkzeuge wie Claude Code und viele MCP-Server, die Claude mit Firmendaten und Anwendungen verbinden
- Interne Tools wie Dashboards, Schnittstellen und Automatisierungen
- Docker-Container, die Node.js als Laufzeitumgebung mitbringen
- Desktop-Programme, die auf Electron basieren
Gerade durch KI-Assistenten läuft Node.js inzwischen auch auf vielen Arbeitsplatzrechnern, nicht nur auf Servern.
Die Lücken: CVE-2026-111497 und weitere
Das Update betrifft die Release-Linien 22.x, 24.x und 26.x. Vier der zehn Lücken sind als hoch eingestuft:
- Brotli-Decoder (CVE-2026-111497): Brotli ist ein Kompressionsverfahren, das im Web häufig eingesetzt wird. Wenn Node.js präparierte Brotli-Daten eines Angreifers entpackt, kann dieser Speicher auslesen oder eigenen Code ausführen.
- TLS-Zertifikatsprüfung (CVE-2026-105483, CVE-2026-106069): Node.js prüft bei verschlüsselten Verbindungen, ob das Zertifikat zum Server passt. Diese Prüfung lässt sich mit bestimmten Schreibweisen von IP-Adressen austricksen. Das ermöglicht Man-in-the-Middle-Angriffe.
- DNS-Auflösung (CVE-2026-105482): Hostnamen mit bestimmten Sonderzeichen werden abgeschnitten. Eine Anwendung kann so mit dem falschen Server sprechen.
Die übrigen Lücken sind als mittel oder niedrig eingestuft.
Aktuell gibt es keine Berichte über aktive Angriffe. Keine der Lücken steht im CISA-Katalog aktiv ausgenutzter Schwachstellen. Das kann sich jedoch schnell ändern, sobald technische Details öffentlich sind.
Die abgesicherten Versionen sind:
- Node.js 26.12.1
- Node.js 24.22.1
- Node.js 22.23.4
Ältere Release-Linien wie 20.x erhalten keine Updates mehr und sollten ersetzt werden.
Das sollten Sie jetzt prüfen
- Server und Anwendungen: Wo läuft Node.js, und in welcher Version?
- Arbeitsplätze mit KI-Werkzeugen: Wer Claude Code oder MCP-Server nutzt, sollte die lokale Node.js-Installation aktualisieren.
- Container: Ein Update auf dem Host aktualisiert nicht die Node.js-Version im Container. Images müssen neu gebaut werden.
- Programme mit eigenem Node.js: Electron-Anwendungen und Appliances erhalten den Fix nur über ein Update des Herstellers.
- Alte Versionen: Node.js 20.x und älter bekommt keine Sicherheitsupdates mehr.
Fazit
Das Oktober-Update von Node.js ist kein Notfall, aber auch keine Routine. Eine Lücke erlaubt Remote Code Execution, zwei weitere schwächen die Verschlüsselung. Wer Node.js einsetzt, sollte das Update in den nächsten Tagen einspielen und dabei auch Container, Arbeitsplätze und mitgelieferte Laufzeitumgebungen nicht vergessen.
Fragen zu Ihrer Umgebung? Sprechen Sie uns an.
