Das Node.js-Projekt hat am 21. Oktober 2026 wichtige Sicherheitsupdates für die weitverbreitete JavaScript-Laufzeitumgebung veröffentlicht. Insgesamt werden zehn Sicherheitslücken geschlossen. Besonders gefährlich ist CVE-2026-111497. Die Schwachstelle im Brotli-Decoder kann unter bestimmten Voraussetzungen die Ausführung fremden Programmcodes ermöglichen. Auch Fehler bei der Überprüfung von TLS-Zertifikaten und bei der DNS-Auflösung wurden behoben.
Betroffen sind die Node.js-Versionsreihen 22, 24 und 26. Sicherheitsupdates stehen bereits zur Verfügung. Wir zeigen Dir, welche Versionen erforderlich sind, wie Du Node.js unter Windows 11 überprüfst und worauf Administratoren bei Windows Servern, Webanwendungen und Docker-Containern achten sollten.
Node.js Sicherheitsupdate vom 21. Oktober 2026: Das ist neu
Node.js ist eine Laufzeitumgebung für JavaScript, die unter anderem auf Webservern, in Entwicklungswerkzeugen und in zahlreichen Unternehmensanwendungen eingesetzt wird. Die Software ist für Windows, Linux und macOS verfügbar.
Auch bei der Entwicklung von Desktop-Anwendungen spielt Node.js eine wichtige Rolle. Beispielsweise verwenden Electron-Anwendungen entsprechende Laufzeitkomponenten. Mehr darüber erfährst Du in unserer Anleitung zur Entwicklung von Windows-Anwendungen mit React Native und Electron.
Die jetzt veröffentlichten Sicherheitsupdates beheben zehn Schwachstellen unterschiedlicher Schweregrade. Das Node.js-Projekt bewertet vier davon als hoch, drei als mittel und drei als niedrig.
Eine bestätigte numerische CVSS-Bewertung nach CVSS 3.1 oder CVSS 4.0 liegt für die einzelnen Sicherheitslücken in der offiziellen Herstellerveröffentlichung derzeit nicht vor. Deshalb verwenden wir nachfolgend die vom Node.js-Projekt angegebenen Schweregrade.
CVE-2026-111497: Gefährliche Sicherheitslücke im Brotli-Decoder
Die wichtigste Schwachstelle trägt die Kennung CVE-2026-111497. Sie betrifft den in Node.js integrierten Brotli-Decoder, der komprimierte Daten verarbeitet.
Brotli ist ein Verfahren zur Datenkomprimierung. Es wird häufig verwendet, um Inhalte bei der Übertragung zwischen Servern und Anwendungen zu verkleinern. Dadurch können beispielsweise Webseiten und andere Daten schneller übertragen werden.
Die Sicherheitslücke entsteht durch einen fehlerhaften Speicherzugriff beim Dekomprimieren bestimmter Daten. Dabei kann ein Schreibzugriff außerhalb des vorgesehenen Speicherbereichs erfolgen.
Das Node.js-Projekt bestätigt ausdrücklich, dass die Schwachstelle eine entfernte Codeausführung ermöglichen kann. Angreifer könnten unter entsprechenden Voraussetzungen manipulierte komprimierte Daten verwenden, um den betroffenen Node.js-Prozess anzugreifen.
Entscheidend ist allerdings, ob eine Anwendung solche Daten tatsächlich mit dem verwundbaren Decoder verarbeitet. Nicht jede Node.js-Installation ist automatisch über das Internet angreifbar.
Welche Anwendungen können betroffen sein?
Ein erhöhtes Risiko besteht insbesondere dann, wenn eine Node.js-Anwendung nicht vertrauenswürdige, komprimierte Daten verarbeitet.
Das kann beispielsweise Webanwendungen, Dienste zur Datenverarbeitung oder Anwendungen betreffen, die Inhalte von externen Servern abrufen.
Entwickler und Administratoren sollten deshalb überprüfen, ob entsprechende Funktionen verwendet werden. Eine pauschale Deaktivierung der Datenkomprimierung ist jedoch kein vom Hersteller bestätigter vollständiger Ersatz für das Sicherheitsupdate.
Weitere Node.js Sicherheitslücken betreffen TLS und DNS
Neben CVE-2026-111497 wurden mehrere Sicherheitsprobleme behoben, die Netzwerkverbindungen und Sicherheitsüberprüfungen betreffen.
| CVE | Problem | Schweregrad |
|---|---|---|
| CVE-2026-111497 | Speicherfehler im Brotli-Decoder mit möglicher Codeausführung | Hoch |
| CVE-2026-105482 | Fehlerhafte Verarbeitung von Nullbytes bei DNS-Abfragen | Hoch |
| CVE-2026-105483 | Umgehung der TLS-Hostnamenprüfung bei bestimmten IP-Darstellungen | Hoch |
| CVE-2026-106069 | Fehlerhafte Prüfung von TLS-Zertifikaten bei bestimmten Hostnamen | Hoch |
| CVE-2026-105481 | Fehler bei der Verarbeitung wiederverwendeter HTTP-Verbindungen | Mittel |
| CVE-2026-106072 | Unzureichende Zertifikatsprüfung bei ungewöhnlichen IPv4-Adressen | Mittel |
| CVE-2026-106074 | Wiederholte Zufallswerte bei bestimmten Startabbildern | Mittel |
| CVE-2026-106070 | Fehlerhafte Verarbeitung von ZIP-Daten | Niedrig |
| CVE-2026-106071 | Fehler im Node.js-Berechtigungsmodell | Niedrig |
| CVE-2026-106073 | Umgehung einer Dateisystemberechtigung | Niedrig |
Besonders interessant sind die Fehler bei der TLS-Zertifikatsprüfung. Solche Prüfungen sollen sicherstellen, dass sich eine Anwendung tatsächlich mit dem vorgesehenen Server verbindet.
Unter bestimmten Voraussetzungen konnten ungewöhnliche Darstellungen von IP-Adressen dazu führen, dass diese Überprüfung nicht korrekt funktionierte.
Die ebenfalls behobene Schwachstelle CVE-2026-105482 betrifft die DNS-Auflösung. Dabei konnten bestimmte Zeichen innerhalb eines Hostnamens zu einer unerwarteten Verkürzung des Namens führen.
Wichtig ist, dass nicht jede CVE sämtliche Versionsreihen gleichermaßen betrifft. CVE-2026-105483 betrifft beispielsweise Node.js 24 und 26, während die Brotli-Schwachstelle auch Node.js 22 betrifft.
Diese Node.js-Versionen schließen die Sicherheitslücken
Für alle drei unterstützten Versionsreihen stehen seit dem 21. Oktober 2026 korrigierte Versionen zur Verfügung.
| Versionsreihe | Erste korrigierte Version | Status |
|---|---|---|
| Node.js 22.x | 22.23.4 | LTS |
| Node.js 24.x | 24.22.1 | LTS |
| Node.js 26.x | 26.12.1 | Current |
Wenn Du beispielsweise Node.js 24.22.0 verwendest, solltest Du auf 24.22.1 aktualisieren. Bei Node.js 22.23.3 ist entsprechend Version 22.23.4 erforderlich.
Ältere Versionsreihen, deren regulärer Sicherheits-Support bereits beendet wurde, erhalten diese Updates nicht. Dazu gehört beispielsweise Node.js 20. Solche Installationen sollten auf eine unterstützte Versionsreihe migriert werden.
Für produktive Anwendungen empfiehlt sich normalerweise die Verwendung einer unterstützten LTS-Version. Ein Wechsel auf die neueste Current-Version ist nicht zwingend erforderlich, wenn für die bestehende LTS-Reihe ein passender Sicherheitspatch vorhanden ist.
Schritt für Schritt: Node.js-Version unter Windows 11 überprüfen
Unter Windows 11 und Windows Server kannst Du mit wenigen Befehlen feststellen, ob Node.js installiert ist und welche Version verwendet wird.
Schritt 1: Windows Terminal oder PowerShell öffnen
Über das Startmenü kannst Du nach „Terminal“ oder „PowerShell“ suchen. Für die reine Versionskontrolle sind normalerweise keine Administratorrechte erforderlich.
Schritt 2: Installierte Node.js-Version anzeigen
Gib folgenden Befehl ein:
node -vEine mögliche Ausgabe lautet:
v24.22.0Dieses Beispiel zeigt eine ältere Version, für die das aktuelle Sicherheitsupdate erforderlich ist.
Wenn Windows meldet, dass der Befehl nicht gefunden wurde, kann Node.js fehlen oder der Installationspfad ist nicht in der PATH-Umgebungsvariable enthalten. Weitere Informationen findest Du in unserer Anleitung zur Windows PATH-Variable.
Schritt 3: Installationspfad von Node.js ermitteln
Mit diesem Befehl kannst Du überprüfen, welche Node.js-Datei Windows verwendet:
where.exe nodeWenn mehrere Pfade angezeigt werden, können verschiedene Node.js-Installationen vorhanden sein.
Zusätzlich lässt sich die tatsächlich gestartete ausführbare Datei ermitteln:
node -p "process.execPath"Das ist besonders hilfreich, wenn Entwicklungswerkzeuge oder Versionsmanager eigene Installationen verwenden.
Schritt 4: Laufende Node.js-Prozesse überprüfen
Mit PowerShell kannst Du nach laufenden Node.js-Prozessen suchen:
Get-Process node -ErrorAction SilentlyContinueEine ausführlichere Erklärung der Prozessverwaltung findest Du unter PowerShell Get-Process.
Beachte, dass ein Prozess eine eigene Node.js-Laufzeit verwenden kann. Die zuvor im Terminal angezeigte Version muss deshalb nicht automatisch mit jeder laufenden Anwendung übereinstimmen.
Node.js Sicherheitsupdates herunterladen
Die offiziellen Sicherheitsversionen stehen bereits zum Download bereit. Verwende möglichst die passende Version Deiner bisherigen unterstützten Versionsreihe.
Node.js unter Windows sicher aktualisieren
Wenn Du Node.js direkt unter Windows installiert hast, kannst Du das passende Installationspaket des Herstellers verwenden.
- Überprüfe zunächst mit
node -vdie aktuell installierte Version. - Wähle die korrigierte Version Deiner bisherigen unterstützten Versionsreihe aus.
- Lade das offizielle Installationspaket für Windows herunter.
- Beende gegebenenfalls laufende Entwicklungsumgebungen und sichere offene Projekte.
- Starte die Installation und folge den angezeigten Hinweisen.
- Öffne anschließend ein neues Terminal und kontrolliere erneut die Node.js-Version.
- Starte betroffene Anwendungen beziehungsweise Dienste neu und überprüfe ihre Funktion.
Alternativ lassen sich viele Programme unter Windows mit dem Paketmanager WinGet aktualisieren. Beachte dabei, dass neue Sicherheitsversionen möglicherweise nicht sofort in jedem Paketrepository verfügbar sind. Wie Du grundsätzlich Softwareupdates mit WinGet verwaltest, erklären wir im Beitrag Windows Apps automatisch mit WinGet aktualisieren.
Ein wichtiger Unterschied: Mit npm update aktualisierst Du normalerweise die Abhängigkeiten Deines Projekts. Die eigentliche Node.js-Laufzeit wird dadurch nicht automatisch auf eine korrigierte Sicherheitsversion gebracht.
Windows Server und Docker: Diese Installationen werden leicht übersehen
In Unternehmen wird Node.js nicht immer als gewöhnliches Windows-Programm installiert. Häufig läuft die Software innerhalb von Diensten, Entwicklungsumgebungen oder Containern.
Eine Aktualisierung der lokal installierten Node.js-Version reicht deshalb nicht aus, wenn eine Anwendung ihre eigene Laufzeit mitbringt.
Node.js als Windows-Dienst
Falls Node.js-Anwendungen als Windows-Dienst ausgeführt werden, muss die tatsächlich verwendete Laufzeit aktualisiert werden. Anschließend ist normalerweise ein Neustart des betroffenen Dienstes erforderlich.
Wie Du solche Dienste kontrollierst, erklären wir unter Windows Dienste starten und stoppen.
Node.js in Docker-Containern
Bei Docker-Containern muss das verwendete Container-Image berücksichtigt werden. Wenn das Image eine ältere Node.js-Version enthält, wird diese nicht automatisch durch eine Aktualisierung des Hostsystems ersetzt.
In solchen Fällen empfiehlt sich die Aktualisierung des Basisimages. Anschließend muss die Anwendung neu gebaut und bereitgestellt werden. Die verwendete Node.js-Version sollte innerhalb des neuen Containers überprüft werden.
Node.js unter WSL
Auch unter dem Windows Subsystem für Linux kann eine eigenständige Node.js-Installation vorhanden sein. Diese wird nicht automatisch aktualisiert, wenn Du Node.js unter Windows selbst aktualisierst.
Weitere Informationen zur Linux-Umgebung unter Windows findest Du in unserer Anleitung WSL unter Windows installieren und verwenden.
Wie erkennst Du Probleme nach einem Node.js-Update?
Nach der Installation empfiehlt sich ein kurzer Funktionstest. Besonders bei Webanwendungen sollte überprüft werden, ob der Dienst startet, Netzwerkverbindungen funktionieren und keine neuen Fehlermeldungen entstehen.
Bei lokal entwickelten Anwendungen ist häufig die Adresse localhost relevant. Die Grundlagen erklären wir in unserem Beitrag Localhost und die IP-Adresse 127.0.0.1.
Wenn eine Anwendung nach der Aktualisierung nicht mehr erreichbar ist, kannst Du überprüfen, welcher Prozess den benötigten Netzwerkport verwendet. Dazu findest Du eine Anleitung unter Welches Programm belegt welchen Port?.
Auf Windows Servern sind außerdem die Ereignisprotokolle hilfreich. Unser Beitrag Windows Ereignisanzeige mit PowerShell auslesen zeigt, wie Du Fehlermeldungen systematisch untersuchen kannst.
Werden die Node.js-Sicherheitslücken bereits ausgenutzt?
Zum Stand vom 22. Oktober 2026 bestätigt das Node.js-Projekt in seiner offiziellen Sicherheitsmeldung keine bereits laufenden Angriffe auf die beschriebenen Schwachstellen.
Das bedeutet jedoch nicht, dass die Sicherheitsprobleme ungefährlich sind. Besonders die mögliche Codeausführung durch CVE-2026-111497 rechtfertigt eine zeitnahe Aktualisierung betroffener Anwendungen.
Wer einen konkreten Angriffsverdacht hat, sollte relevante Protokolle sichern und die betroffenen Prozesse untersuchen. Für eine weitergehende Analyse kannst Du auch den Microsoft Process Explorer verwenden.
Aus der Administratorpraxis: Nicht nur den Windows-PC aktualisieren
Bei Sicherheitsupdates für Node.js ist die vollständige Bestandsaufnahme besonders wichtig. Während sich die Version einer lokalen Installation schnell kontrollieren lässt, bleiben eingebettete Laufzeitumgebungen häufig unbemerkt. Das macht das Patchen und Updaten der Applikationen noch schwieriger.
Deshalb solltet Ihr bei einer größeren IT-Umgebung zunächst die produktiven Webanwendungen und öffentlich erreichbaren Dienste untersuchen. Anschließend sollten Container, Entwicklungsserver, Build-Systeme und weitere eigenständige Node.js-Installationen überprüft werden.
Besondere Aufmerksamkeit verdienen Programme, die verschlüsselte Netzwerkverbindungen verwenden oder externe komprimierte Daten verarbeiten. Hier können die jetzt behobenen Schwachstellen besonders relevant sein.
Vor jeder Produktivaktualisierung sollten natürlich eine Datensicherung durchgeführt werden.
FAQ: Häufige Fragen zum Node.js Sicherheitsupdate Oktober 2026
Die Sicherheitslücken betreffen je nach CVE die Versionsreihen Node.js 22, 24 und 26. Korrigierte Versionen sind 22.23.4, 24.22.1 und 26.12.1. Ältere, nicht mehr unterstützte Versionsreihen benötigen eine Migration.
Die Schwachstelle befindet sich im Brotli-Decoder von Node.js. Nach Angaben des Herstellers kann sie unter bestimmten Voraussetzungen eine entfernte Codeausführung ermöglichen. Das Node.js-Projekt bewertet die Sicherheitslücke als hoch.
Öffne Windows Terminal oder PowerShell und gib node -v ein. Windows zeigt anschließend die Version der gefundenen Node.js-Installation an. Mit where.exe node kannst Du zusätzlich die Installationspfade überprüfen.
Nein. Node.js ist keine gewöhnliche Komponente von Windows Update. Die Laufzeit muss über ihren jeweiligen Installationsweg aktualisiert werden. Bei eigenständigen Anwendungen oder Docker-Containern kann zusätzlich eine Aktualisierung der Anwendung erforderlich sein.
Nein. npm update aktualisiert normalerweise die Abhängigkeiten eines Projekts. Die Node.js-Laufzeit selbst wird dadurch nicht automatisch ersetzt. Dafür muss die korrigierte Node.js-Version installiert beziehungsweise die betroffene Laufzeitumgebung aktualisiert werden.
Fazit: Node.js Sicherheitsupdates möglichst zeitnah installieren
Die Sicherheitsupdates vom 21. Oktober 2026 beheben gleich zehn Schwachstellen in Node.js. Besonders wichtig ist CVE-2026-111497, da die Schwachstelle im Brotli-Decoder unter bestimmten Voraussetzungen die Ausführung fremden Programmcodes ermöglichen kann. Zusätzlich wurden mehrere Fehler bei der Verarbeitung von DNS-Anfragen und TLS-Verbindungen geschlossen.
Mit Node.js 22.23.4, 24.22.1 und 26.12.1 stehen bereits korrigierte Versionen bereit. Gerade bei produktiven Webanwendungen und öffentlich erreichbaren Diensten sollte die Aktualisierung eine hohe Priorität erhalten.
Wichtig ist dabei, nicht nur die lokal installierte Node.js-Version zu berücksichtigen. Auch Container, Serverdienste und Anwendungen mit eigenen Laufzeitumgebungen müssen überprüft werden. Wer seine eingesetzten Versionen kennt und die Aktualisierung sorgfältig vorbereitet, kann die beschriebenen Sicherheitsrisiken deutlich reduzieren.
Neueste Kommentare