Die korrigierten Versionen sind bereits verfügbar
Node.js hat am 21. Oktober 2026 Sicherheitsversionen für die Zweige 22.x, 24.x und 26.x veröffentlicht. Sie beheben unter anderem CVE-2026-111497 im Brotli-Decoder. Das Projekt stuft die Lücke als hoch ein und beschreibt einen Schreibzugriff außerhalb des vorgesehenen Speicherbereichs, der die Ausführung von Code aus der Ferne ermöglichen kann.
Für den Zweig 22.x enthält Version 22.23.4 die Korrektur, für 24.x ist es 24.22.1 und für 26.x die Version 26.12.1. Alle drei offiziellen Versionshinweise führen die Brotli-Korrektur auf. Es handelt sich um bereits veröffentlichte Updates, nicht um eine neue Ankündigung vom 23. Oktober.
Die tatsächlich laufende Umgebung prüfen
Wer eine Node.js-Anwendung betreibt, sollte zuerst die verwendete Laufzeit ermitteln. Mit node --version lässt sich die Version der jeweiligen Umgebung anzeigen. Entscheidend ist die Umgebung, in der die Anwendung läuft: Eine aktualisierte lokale Installation belegt noch kein Update auf dem Server oder im Container.
Für eine Installation aus einem der genannten Zweige ist die passende Sicherheitsversion ein konkreter Ausgangspunkt für das Update. Ein Wechsel von Node.js 22 auf 26 ist dafür nicht automatisch erforderlich. Prüfen Sie die Anwendung nach dem Update und kontrollieren Sie nach dem erneuten Bereitstellen auch die dort aktive Laufzeitversion.
Bei verwaltetem Hosting den Anbieter einbeziehen
Bei verwalteten Laufzeiten oder vorgegebenen Container-Images sollten Betreiber prüfen, welche Version der Anbieter tatsächlich bereitstellt und wie sie übernommen wird. Ein Update der npm-Abhängigkeiten allein bestätigt kein Update der Node.js-Laufzeit.
Die Node.js-Meldung beschreibt die Sicherheitslücke und verfügbare Korrekturen. Daraus folgt weder, dass jede Node.js-Anwendung ausnutzbar ist, noch dass ein bestimmter Dienst bereits angegriffen wurde. Für die konkrete Installation zählen die eingesetzte Laufzeit und die Verarbeitung von Brotli-Daten.
