Node.js: Mehrere Schwachstellen
WID-SEC-2026-4117 · erstmals 22.10.2026 · aktualisiert 29.10.2026 · CVSS 9,8
Worum es geht
Node.js ist eine Plattform zur Entwicklung von Netzwerkanwendungen. Ein Angreifer kann mehrere Schwachstellen in Node.js ausnutzen, um einen Denial of Service Angriff durchzuführen, um Sicherheitsvorkehrungen zu umgehen und um beliebigen Programmcode auszuführen.
Unter welchen Bedingungen?
Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- einen Denial of Service Angriff durchzuführen
- Sicherheitsvorkehrungen zu umgehen
- beliebigen Programmcode auszuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- Debian Linux
- Red Hat Enterprise Linux
- Fedora Linux
- Microsoft .NET
- Ubuntu Linux
- Oracle Linux
- Open Source Node.js <26.12.1
- Open Source Node.js <24.22.1
- Open Source Node.js <22.23.4
- Oracle Java SE 25.0.5.0.2
- Oracle Java SE 17.0.21.0.2
- Oracle Java SE 8u511-perf-b32
und 19 weitere
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Open Source Node.js 26.12.1
- Open Source Node.js 24.22.1
- Open Source Node.js 22.23.4
- Palo Alto Networks PAN-OS 12.2.4-h1
- Palo Alto Networks PAN-OS 12.1.4-h13
- Palo Alto Networks PAN-OS 12.1.7-h11
- Palo Alto Networks PAN-OS 12.1.10-h3
- Palo Alto Networks PAN-OS 11.2.4-h23
- Palo Alto Networks PAN-OS 11.2.7-h23
- Palo Alto Networks PAN-OS 11.2.10-h17
- Palo Alto Networks PAN-OS 11.2.13-h4
- Palo Alto Networks PAN-OS 11.2.16-h1
Wird die Lücke schon ausgenutzt?
- CVE-2026-111497: laut CISA in freier Wildbahn ausgenutzt, im Katalog seit 27.10.2026.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Node.js Security Release vom 2026-10-21 nodejs.org
- Node.js Security Release vom 2026-10-21 nodejs.org
- Node.js Security Release vom 2026-10-21 nodejs.org
- Node.js Security Release vom 2026-10-21 nodejs.org
- PoC CVE-2026-111497 Node2Shell www.imperva.com
- Red Hat Security Advisory RHSA-2026:87420 vom 2026-10-23 access.redhat.com
- Fedora Security Advisory FEDORA-2026-A336A99528 vom 2026-10-26 bodhi.fedoraproject.org
- Debian Security Advisory DLA-4855 vom 2026-10-24 lists.debian.org
- Debian Security Advisory DSA-6582 vom 2026-10-24 security-tracker.debian.org
- Fedora Security Advisory FEDORA-2026-5B98DD6D78 vom 2026-10-26 bodhi.fedoraproject.org
- Microsoft Security Update Guide msrc.microsoft.com
- Oracle Linux Security Advisory ELSA-2026-500514 vom 2026-10-27 linux.oracle.com
- Red Hat Security Advisory RHSA-2026:90501 vom 2026-10-26 access.redhat.com
- Fedora Security Advisory FEDORA-2026-4AADE61415 vom 2026-10-26 bodhi.fedoraproject.org
- Oracle Linux Security Advisory ELSA-2026-500517 vom 2026-10-27 linux.oracle.com
- Red Hat Security Advisory RHSA-2026:90495 vom 2026-10-26 access.redhat.com
- Oracle Linux Security Advisory ELSA-2026-500515 vom 2026-10-27 linux.oracle.com
- Fedora Security Advisory FEDORA-2026-92436BEF9C vom 2026-10-26 bodhi.fedoraproject.org
- Oracle Linux Security Advisory ELSA-2026-500516 vom 2026-10-27 linux.oracle.com
- Ubuntu Security Notice USN-8956-1 vom 2026-10-26 ubuntu.com
- Oracle Linux Security Advisory ELSA-2026-500513 vom 2026-10-27 linux.oracle.com
- Oracle Linux Security Advisory ELSA-2026-500512 vom 2026-10-27 linux.oracle.com
- Oracle Linux Security Advisory ELSA-2026-500520 vom 2026-10-27 linux.oracle.com
- Oracle Linux Security Advisory ELSA-2026-500518 vom 2026-10-26 linux.oracle.com
- Red Hat Security Advisory RHSA-2026:90449 vom 2026-10-26 access.redhat.com
und 16 weitere Quellen in der Originalmeldung
CVE: CVE-2026-105481, CVE-2026-105482, CVE-2026-105483, CVE-2026-106069, CVE-2026-106070, CVE-2026-106071, CVE-2026-106072, CVE-2026-106073, CVE-2026-106074, CVE-2026-111497, CVE-2026-28330
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.