Node.js-Sicherheitsupdate: Was du jetzt zu Node2Shell wissen solltest
Die Brotli-Lücke CVE-2026-111497 und weitere Node.js-Schwachstellen wurden behoben.
Worum geht es?
Am 21. Oktober 2026 hat das Node.js-Projekt Sicherheitsupdates veröffentlicht. Dazu gehört CVE-2026-111497, häufig als Node2Shell bezeichnet: Ein Fehler im mitgelieferten Brotli-Decoder kann Speicher beschädigen. Verarbeitet eine Anwendung entsprechend manipulierte Brotli-Daten, sind Abstürze, die Offenlegung von Speicherinhalten oder die Ausführung fremden Codes möglich.
Die konkrete Angriffsfläche hängt von deiner Anwendung ab: Sie muss vom Angreifer kontrollierte Brotli-Daten entpacken. Nicht jede öffentlich erreichbare Node.js-Anwendung ist dadurch automatisch auf demselben Weg angreifbar.
Welche Versionen enthalten die Korrektur?
Die Sicherheitsupdates stehen für Node.js 22.23.4, 24.22.1 und 26.12.1 bereit. Verwende mindestens die korrigierte Version deines unterstützten Versionszweigs. Die Veröffentlichung behebt zusätzlich weitere Probleme, unter anderem bei DNS-Auflösung und TLS-Zertifikatsprüfungen.
Was solltest du bei deinem Cloud Server tun?
- Prüfe alle Node.js-Installationen: auf dem Server, in Containern und in deinen Build-Umgebungen.
- Aktualisiere die Laufzeit und starte deine Anwendungen anschließend mit der neuen Version neu.
- Baue bei Docker die Images mit einer gepatchten Basis neu und erstelle die Container neu. Ein aktualisiertes Host-System allein aktualisiert keine bestehenden Images.
- Teste deine Anwendungen nach dem Update. Ein reines Update der npm-Pakete ersetzt das Update der Node.js-Laufzeit nicht.
- Nutzt du einen nicht mehr unterstützten Versionszweig, plane den Wechsel auf eine unterstützte Version.
Du brauchst Unterstützung?
Melde dich im Key2Host Helpcenter und nenne deinen Dienst, die verwendete Node.js-Version und gegebenenfalls dein Container-Image. Dieser Hinweis bestätigt keinen individuellen Patchstand und keinen Sicherheitsvorfall bei Key2Host.
Stand: 24. Oktober 2026.