Node.js-Sicherheitslücke im Oktober 2026: Was du jetzt tun solltest

Stand: 23. Oktober 2026, 8:00 Uhr. Wir aktualisieren diesen Beitrag, sobald es Neues gibt.

Am 21. Oktober 2026 hat das Node.js-Projekt Sicherheitsupdates für alle Versionen veröffentlicht, die es noch pflegt. Sie schließen zehn Lücken, die Node.js aufführt, dazu Lücken in mitgelieferten Bibliotheken. Eine davon steckt im Brotli-Decoder, über sie kann im schlimmsten Fall fremder Code laufen. Am Tag danach hat mittwald betroffene Node.js-Umgebungen zur Sicherheit vorübergehend abgeschaltet, Vercel hat noch am selben Tag Firewall-Regeln aktiviert. Läuft deine Website, dein Shop oder deine Anwendung mit Node.js, liest du hier, was bekannt ist und was du tun solltest.

Das Wichtigste in Kürze

• Betroffen sind die Versionsreihen 22, 24 und 26 vor dem Update vom 21. Oktober, dazu alle älteren Versionen, die keine Updates mehr bekommen.
• Die Korrekturen stecken in Node.js 22.23.4, 24.22.1 und 26.12.1.
• Node.js 20 und andere ausgelaufene Reihen bekommen vom Projekt keine Korrektur, die Reihe 20 ist seit dem 30. April 2026 ausgelaufen. Hier hilft nur der Umstieg auf eine gepflegte Version oder ein Anbieter, der selbst nachbessert.
• Angriffe auf Websites meldet bisher keine der Quellen, die wir gelesen haben. Laut Vercel haben Forscher aber schon vorgeführt, dass sich die Brotli-Lücke ausnutzen lässt. Warten solltest du deshalb nicht.

Prüfung und Update zum Festpreis: Wir prüfen, welche Node.js-Version deine Website oder Anwendung nutzt, spielen das Update ein und testen danach, ob alles läuft. Schreib uns, worum es geht, und du bekommst vorab einen festen Preis.

Was ist passiert?

Node.js hatte das Update vorab angekündigt. Am 21. Oktober gegen 12:40 Uhr deutscher Zeit erschienen die neuen Versionen. Vier der Lücken stuft Node.js als hoch ein, die zweithöchste Stufe. Es ist also eine andere Lage als bei PHP2Shell am selben Tag, aber ebenfalls ein Grund, sofort zu handeln.

Im Mittelpunkt steht CVE-2026-111497. Brotli ist ein Verfahren, mit dem Webseiten und Dateien komprimiert übertragen werden, und Node.js bringt einen eigenen Decoder dafür mit. Ein präparierter Datenstrom kann dort über den vorgesehenen Speicherbereich hinaus schreiben. Laut CVE-Eintrag reicht das von abgestürzten Prozessen über ausgelesenen Speicher bis zu eingeschleustem Code, und ein Login braucht der Angreifer dafür nicht. Google, das Brotli entwickelt, bewertet die Lücke in der Bibliothek mit 9,2 von 10 Punkten, also als kritisch. Node.js selbst stuft sie für Node.js als hoch ein.

Das Advisory von Node.js nennt keine Bedingungen. Entscheidend ist nach der Einordnung von Vercel, ob komprimierte Daten aus fremder Hand bis zum Brotli-Decoder deiner Anwendung kommen. Das betrifft deinen eigenen Code ebenso wie eingebundene Pakete, und eingehende Anfragen ebenso wie Inhalte, die deine Anwendung selbst irgendwo abruft. Auf Versionen ohne Update haben Forscher laut Vercel schon Speicher des Prozesses gelesen und Befehle ausgeführt, mit den Rechten, die der Node.js-Prozess hat. Prüfst du nicht jedes Paket einzeln, geh davon aus, dass du betroffen bist, bis eine der neuen Versionen läuft.

Welche Lücken das Update schließt

Zu den meisten Lücken nennt Node.js bisher nur einen Titel, Details stehen noch aus. Grob zusammengefasst, mit der Einstufung von Node.js:

• Hoch: der Fehler im Brotli-Decoder (CVE-2026-111497), ein Fehler bei DNS-Abfragen mit Namen, die ein Nullzeichen enthalten (CVE-2026-105482), und zwei Wege, die Prüfung von TLS-Zertifikaten auszutricksen, wenn statt eines Namens eine ungewöhnlich geschriebene IP-Adresse benutzt wird (CVE-2026-105483, CVE-2026-106069).
• Mittel: ein Fehler bei wiederverwendeten HTTP-Verbindungen, bei dem eine zu früh eingetroffene Antwort der falschen Anfrage zugeordnet werden kann (CVE-2026-105481), eine weitere Lücke bei der Prüfung von Zertifikaten für IP-Adressen (CVE-2026-106072) und Zufallswerte aus crypto.randomUUID() und randomInt(), die sich bei Startup-Snapshots und Single Executable Applications in jedem Prozess wiederholen (CVE-2026-106074).
• Niedrig: ein Fehler beim Lesen von ZIP-Dateien (CVE-2026-106070) und zwei Wege um das Permission Model herum (CVE-2026-106071, CVE-2026-106073).

Dazu kommen neue Versionen von mitgelieferten Bibliotheken: c-ares, die Liste der Stammzertifikate und Undici in allen drei Reihen, OpenSSL in 22 und 24, SQLite in 22.

Welche Node.js-Versionen enthalten die Korrekturen?

Welche Version läuft, zeigt dir node -v auf dem Server oder im Container. Node.js schreibt dazu, dass ausgelaufene Versionen bei jedem Sicherheitsupdate als betroffen gelten. Läuft deine Anwendung noch auf einer ausgelaufenen Reihe, etwa 20, 21, 23 oder 25, ist jetzt der Zeitpunkt für den Umstieg, am besten gleich auf 24.

Was sagen die Hoster?

mittwald hat am 22. Oktober um 14:37 Uhr gemeldet, den Betrieb betroffener Node.js-Umgebungen zur Sicherheit unterbrochen zu haben. Ab dem Nachmittag hat mittwald die Korrekturen ausgerollt, um 17:11 Uhr waren die Versionen 22, 24 und 26 laut Statusseite wieder online und abgesichert. Für Node.js 20 hat mittwald um 17:36 Uhr eigene Patches gemeldet, ab 18:39 Uhr auch für die Versionen 16, 17 und 18. Um 19:42 Uhr war der Rollout laut mittwald abgeschlossen: Alle betroffenen Anwendungen, die mittwald selbst verwaltet, sind gepatcht. Läuft Node.js bei dir in einem Container oder auf einem Root-Server, musst du es laut mittwald selbst aktualisieren. Die betroffenen Kunden hat mittwald nach eigenen Angaben einzeln informiert.

Hostinger rollt die neuen Versionen laut Statusseite seit dem 22. Oktober aus, erste Meldung um 11:28 Uhr. Im Agency Hosting läuft schon die abgesicherte Version. Für Web Hosting und Cloud Hosting wartete Hostinger um 12:21 Uhr noch auf die Pakete des Betriebssystem-Herstellers und setzte bis dahin zusätzliche Schutzregeln auf den Servern ein. In der Nacht zum 23. Oktober, um 0:30 Uhr, meldete Hostinger den Rollout von Node.js 24.22.1 und 22.23.4 als abgeschlossen. Im Agency Hosting, im AI Builder, im Web und Cloud Hosting und bei Node.js-Anwendungen unter cPanel musst du laut Hostinger nichts tun. Auf einem VPS aktualisierst du Node.js selbst.

Vercel hat am 21. Oktober Firewall-Regeln für alle Projekte aktiviert, die Angriffe auf dem Weg zu deiner Anwendung abfangen. Antworten, die deine Funktionen selbst von anderen Servern holen, erfasst diese Firewall nicht, das deckt nur die neue Node.js-Version ab. Die neuen Versionen rollt Vercel nach eigenen Angaben gerade aus. Projekte auf Node.js 22 oder 24 bekommen sie automatisch. Steht dein Projekt noch auf Node.js 20, musst du in den Einstellungen oder unter engines.node auf 22 oder 24 umstellen und neu deployen.

Bei IONOS, DomainFactory, Hetzner, netcup und Alfahosting haben wir bis zum Abend des 22. Oktober keine Meldung zu Node.js auf der Statusseite gefunden. Läuft deine Anwendung bei einem Hoster, der Node.js für dich verwaltet, frag nach, ob die neuen Versionen schon eingespielt sind. Betreibst du den Server selbst, musst du das Update selbst einspielen.

Was du jetzt tun solltest

1. Version prüfen. Mit node -v überall, wo Node.js läuft: Server, Container, CI und der eigene Rechner. Oft laufen dort unterschiedliche Versionen.
2. Aktualisieren. Auf 22.23.4, 24.22.1 oder 26.12.1, je nach Reihe. Danach die Anwendung neu starten, ein laufender Prozess nutzt sonst weiter die alte Version.
3. Container neu bauen. Ein Docker-Image enthält die Node.js-Version, mit der es gebaut wurde. Das neue Basis-Image hilft erst, wenn du das Image neu baust und ausrollst.
4. Von Node.js 20 und älter wegkommen. Für ausgelaufene Reihen kommt vom Projekt keine Korrektur mehr. Plane den Umstieg auf eine gepflegte Version, und prüf dabei, ob Pakete und Build-Werkzeuge mitziehen.
5. Next.js selbst betrieben? Dann hilft laut Vercel nur das Node.js-Update. Die Bildoptimierung von Next.js lässt Brotli-Antworten durch.
6. Auch an Brotli außerhalb von Node.js denken. Die Lücke steckt in der Brotli-Bibliothek selbst. Laut CVE-Eintrag betroffen sind Brotli 1.0.3 bis 1.0.9 sowie 1.1.0 und 1.2.0, korrigiert sind 1.0.10, 1.1.1 und 1.2.1. Nutzt andere Software auf deinem Server Brotli, prüf auch dort, ob es ein Update gibt.

Wenn sich niemand zuständig fühlt

Eine Lücke wie diese bleibt offen, wenn niemand nach den Versionen schaut. Wir kümmern uns um Updates, Backups und Monitoring für Websites und die Anwendungen, mit denen du täglich arbeitest, und prüfen nach jedem Update, ob alles wie vorher läuft. Für das akute Update bekommst du von uns einen Festpreis, für die Zeit danach gibt es Wartung & Hosting. Schreib uns einfach über das Formular oben.

Quellen

• Node.js: Wednesday, October 21, 2026 Security Releases
• Node.js-Releases: v22.23.4, v24.22.1, v26.12.1
• CVE-Eintrag CVE-2026-111497
• Node.js: Release Schedule
• Vercel: Node.js security advisory
• mittwald-Status: Sicherheitslücke in Node.js, 22. Oktober 2026
• Hostinger-Status: Node.js Security Update, 22. Oktober 2026