23. Oktober 2026 | IT-Sicherheit
Am 21. Oktober 2026 wurden mehrere Sicherheitslücken in der weitverbreiteten JavaScript-Laufzeitumgebung Node.js bekannt. Besonders kritisch ist dabei eine Schwachstelle mit der Kennung CVE-2026-111497, die auch unter dem Namen Node2Shell bekannt geworden ist.
Die Sicherheitslücke kann es Angreifern unter bestimmten Umständen ermöglichen, Schadcode auf einem betroffenen Server auszuführen – möglicherweise sogar ohne vorherige Anmeldung.
Node.js kommt häufig bei modernen Webanwendungen, Online-Diensten und Schnittstellen (APIs) zum Einsatz. Betreiber entsprechender Anwendungen sollten daher zeitnah prüfen, ob ihre Systeme betroffen sind.
Was steckt hinter Node2Shell?
Die Schwachstelle befindet sich im sogenannten Brotli-Decoder von Node.js. Brotli ist ein Verfahren zur Komprimierung von Daten, das unter anderem bei der Übertragung von Webinhalten eingesetzt wird.
Durch speziell manipulierte komprimierte Daten kann ein Speicherfehler ausgelöst werden. Im schlimmsten Fall ermöglicht dieser die Ausführung von fremdem Programmcode auf dem betroffenen System.
Sicherheitsforschern ist es bereits gelungen, die Ausnutzung der Schwachstelle unter realistischen Testbedingungen nachzuweisen.
Was sollte jetzt getan werden?
Die gute Nachricht: Die Entwickler von Node.js haben bereits Sicherheitsupdates veröffentlicht, welche die Schwachstelle beheben.
Folgende Node.js-Versionen enthalten die entsprechenden Sicherheitskorrekturen:
- Node.js 22: Version 22.23.4
- Node.js 24: Version 24.22.1
- Node.js 26: Version 26.12.1
Wer eine ältere Version innerhalb dieser Versionszweige einsetzt, sollte schnellstmöglich ein Update durchführen.
Node.js 20 und ältere Versionszweige werden nicht mehr regulär mit Sicherheitsupdates versorgt. Hier sollte ein Wechsel auf eine unterstützte Version erfolgen.
Bei gemanagten Hosting-Angeboten übernimmt teilweise der Anbieter die Bereitstellung der Updates. Trotzdem lohnt es sich, die tatsächlich verwendete Version zu überprüfen.
Sind auch WordPress-Webseiten betroffen?
Anders als bei den kürzlich bekannt gewordenen PHP2Shell-Schwachstellen sind klassische WordPress-Webseiten nicht automatisch von Node2Shell betroffen.
WordPress basiert hauptsächlich auf PHP und benötigt für den normalen Betrieb keinen Node.js-Server.
Wer allerdings zusätzliche Anwendungen oder Dienste auf Basis von Node.js betreibt, sollte diese gesondert überprüfen.
Das gilt insbesondere für selbst entwickelte Webanwendungen, API-Dienste und andere serverseitige JavaScript-Anwendungen.
Wie kann ich meine Node.js-Version überprüfen?
Wer Zugriff auf die Kommandozeile seines Servers hat, kann die installierte Node.js-Version beispielsweise mit folgendem Befehl abfragen:
node --version
Wichtig ist dabei, die Version zu überprüfen, mit der die jeweilige Anwendung tatsächlich ausgeführt wird. Gerade bei Docker-Containern oder mehreren installierten Node.js-Versionen kann diese von der systemweit installierten Version abweichen.
Vor größeren Versionswechseln sollte außerdem eine aktuelle Datensicherung vorhanden sein und die Kompatibilität der Anwendung geprüft werden.
Unser Tipp
Sicherheitslücken wie Node2Shell und PHP2Shell zeigen erneut, wie wichtig regelmäßige Updates und eine sorgfältige Wartung von IT-Systemen sind.
Gerade bei kleineren Unternehmen geraten im Alltag häufig Anwendungen in Vergessenheit, die im Hintergrund zuverlässig ihren Dienst verrichten – bis eine Sicherheitslücke bekannt wird.
Sie sind unsicher, ob Ihre Anwendungen betroffen sind, oder benötigen Unterstützung bei der Überprüfung Ihrer IT-Systeme?
Trybyte unterstützt Sie gerne bei der Wartung, Aktualisierung und Absicherung Ihrer IT – persönlich und unkompliziert in Dinslaken und Umgebung.
Weitere Informationen: Offizielle Sicherheitsmeldung von Node.js | Technische Analyse von Imperva