Am Mittwoch, den 21. Oktober 2026, hat das Node.js-Projekt Sicherheitsupdates für die Versionslinien 26.x, 24.x und 22.x veröffentlicht. Insgesamt zehn Schwachstellen sind laut der Quelle damit behoben, darunter eine als high eingestufte Lücke im Brotli-Decoder, die Remote-Code-Ausführung ermöglicht. Ich hatte einen Routine-Wartungspatch erwartet und bekam ein Best-of der Parser-Bugs serviert.
Was mich beim Lesen kurz schlucken ließ: Alle vier CVEs, die der Eintrag einzeln aufführt, tragen die Einstufung high. Von aktiver Ausnutzung ist dagegen nirgends die Rede. Ein Blick in die Release-Notes gehört damit diese Woche in jeden Deploy-Kalender, auch wenn Panik übertrieben wäre.
Welche Lücke im Node.js-Update ist die gefährlichste?
Das ist eindeutig die Brotli-Schwachstelle CVE-2026-111497: Der Decoder schreibt im Speicher über ein Feld hinaus, was Remote-Code-Ausführung erlaubt. Die Lücke betrifft die Linien 26.x, 24.x und 22.x und ist mit high bewertet; gemeldet hat sie mcollina, gefixt hat sie aduh95, wie die Quelle vermerkt. Kein anderes der genannten Probleme kommt so nah an den Server-Code heran.
Wie legt man eine TLS-Zertifikatsprüfung mit Vollbreite-Ziffern lahm?
Die Quelle beschreibt zwei Umgehungen der Hostnamen-Prüfung, beide mit high bewertet. Ist eine IP-Adresse in Vollbreite-Ziffern geschrieben, rutscht die Prüfung bei 26.x und 24.x durch (CVE-2026-105483); löst ein Hostname locker auf eine IP-Adresse auf, passiert dasselbe in allen drei Linien (CVE-2026-106069). Warum genau der Parser an den Unicode-Ziffern scheitert, erklärt der Text nicht. Die Fixes lieferten jasnell und mcollina.
Weniger exotisch, aber nicht weniger nervig: dns.resolve kürzt Namen einfach ab, wenn sie ein NUL-Zeichen enthalten (CVE-2026-105482, high, alle drei Linien, gemeldet von hasanfleyah, gefixt von jasnell). Dazu kommen aktualisierte Abhängigkeiten: c-ares, ca-cert nach dem Vorfall um eine kompromittierte eMudhra-Zwischenzertifizierungsstelle und Undici in allen drei Linien, OpenSSL nur in 24.x und 22.x, SQLite nur in 22.x.
Muss ich mein Node.js jetzt sofort aktualisieren?
Die Empfehlung der Quelle ist schlicht: betroffene Runtimes auf die aktualisierten Versionen von 26.x, 24.x oder 22.x ziehen. Ausweichmöglichkeiten nennt der Eintrag nicht, und Hinweise auf bereits laufende Angriffe gibt es darin ebenfalls nicht. Wer die betroffenen Code-Pfade gar nicht nutzt, kann den Patch normal einplanen, alle anderen parken ihn diese Woche vorne auf dem Backlog.
Kurz beantwortet
Welche Node.js-Versionen sind betroffen? Im Kern alle drei aktiven Linien 26.x, 24.x und 22.x. Die TLS-Lücke mit den Vollbreite-Ziffern ist die Ausnahme und betrifft laut der Meldung nur 26.x und 24.x.
Steckt in dem Update mehr als eigener Code? Ja, es bringt aktualisierte Abhängigkeiten mit, darunter OpenSSL (24.x und 22.x) und SQLite (22.x).
Nennt die Meldung konkrete Patch-Versionen? Nicht in dem Text, den ich gelesen habe. Dort stehen Linien, CVE-IDs und Einstufungen, aber keine Revisionsnummern.
Den vollständigen Eintrag samt Danksagungen an die Meldenden hat das Projekt im Security-Blog auf nodejs.org veröffentlicht. Und jetzt frage ich mich: Wie lange hätten die Vollbreite-Ziffern noch in DNS und TLS überlebt, wenn hasanfleyah nicht zufällig genau dort nachgeschaut hätte?