Node.js: Mehrere Schwachstellen
WID-SEC-2026-4117 · première publication 22.10.2026 · mise à jour 29.10.2026 · CVSS 9,8
De quoi il s’agit
Node.js ist eine Plattform zur Entwicklung von Netzwerkanwendungen. Ein Angreifer kann mehrere Schwachstellen in Node.js ausnutzen, um einen Denial of Service Angriff durchzuführen, um Sicherheitsvorkehrungen zu umgehen und um beliebigen Programmcode auszuführen.
Dans quelles conditions ?
Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- einen Denial of Service Angriff durchzuführen
- Sicherheitsvorkehrungen zu umgehen
- beliebigen Programmcode auszuführen
Suis-je concerné ?
Concernés selon le BSI :
- Debian Linux
- Red Hat Enterprise Linux
- Fedora Linux
- Microsoft .NET
- Ubuntu Linux
- Oracle Linux
- Open Source Node.js <26.12.1
- Open Source Node.js <24.22.1
- Open Source Node.js <22.23.4
- Oracle Java SE 25.0.5.0.2
- Oracle Java SE 17.0.21.0.2
- Oracle Java SE 8u511-perf-b32
et 19 autres
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Open Source Node.js 26.12.1
- Open Source Node.js 24.22.1
- Open Source Node.js 22.23.4
- Palo Alto Networks PAN-OS 12.2.4-h1
- Palo Alto Networks PAN-OS 12.1.4-h13
- Palo Alto Networks PAN-OS 12.1.7-h11
- Palo Alto Networks PAN-OS 12.1.10-h3
- Palo Alto Networks PAN-OS 11.2.4-h23
- Palo Alto Networks PAN-OS 11.2.7-h23
- Palo Alto Networks PAN-OS 11.2.10-h17
- Palo Alto Networks PAN-OS 11.2.13-h4
- Palo Alto Networks PAN-OS 11.2.16-h1
La faille est-elle déjà exploitée ?
- CVE-2026-111497: exploitée dans la nature selon la CISA, au catalogue depuis le 27.10.2026.
Informations et sources
- Avis original du BSI (WID)
- Node.js Security Release vom 2026-10-21 nodejs.org
- Node.js Security Release vom 2026-10-21 nodejs.org
- Node.js Security Release vom 2026-10-21 nodejs.org
- Node.js Security Release vom 2026-10-21 nodejs.org
- PoC CVE-2026-111497 Node2Shell www.imperva.com
- Red Hat Security Advisory RHSA-2026:87420 vom 2026-10-23 access.redhat.com
- Fedora Security Advisory FEDORA-2026-A336A99528 vom 2026-10-26 bodhi.fedoraproject.org
- Debian Security Advisory DLA-4855 vom 2026-10-24 lists.debian.org
- Debian Security Advisory DSA-6582 vom 2026-10-24 security-tracker.debian.org
- Fedora Security Advisory FEDORA-2026-5B98DD6D78 vom 2026-10-26 bodhi.fedoraproject.org
- Microsoft Security Update Guide msrc.microsoft.com
- Oracle Linux Security Advisory ELSA-2026-500514 vom 2026-10-27 linux.oracle.com
- Red Hat Security Advisory RHSA-2026:90501 vom 2026-10-26 access.redhat.com
- Fedora Security Advisory FEDORA-2026-4AADE61415 vom 2026-10-26 bodhi.fedoraproject.org
- Oracle Linux Security Advisory ELSA-2026-500517 vom 2026-10-27 linux.oracle.com
- Red Hat Security Advisory RHSA-2026:90495 vom 2026-10-26 access.redhat.com
- Oracle Linux Security Advisory ELSA-2026-500515 vom 2026-10-27 linux.oracle.com
- Fedora Security Advisory FEDORA-2026-92436BEF9C vom 2026-10-26 bodhi.fedoraproject.org
- Oracle Linux Security Advisory ELSA-2026-500516 vom 2026-10-27 linux.oracle.com
- Ubuntu Security Notice USN-8956-1 vom 2026-10-26 ubuntu.com
- Oracle Linux Security Advisory ELSA-2026-500513 vom 2026-10-27 linux.oracle.com
- Oracle Linux Security Advisory ELSA-2026-500512 vom 2026-10-27 linux.oracle.com
- Oracle Linux Security Advisory ELSA-2026-500520 vom 2026-10-27 linux.oracle.com
- Oracle Linux Security Advisory ELSA-2026-500518 vom 2026-10-26 linux.oracle.com
- Red Hat Security Advisory RHSA-2026:90449 vom 2026-10-26 access.redhat.com
et 16 autres sources dans l’avis original
CVE: CVE-2026-105481, CVE-2026-105482, CVE-2026-105483, CVE-2026-106069, CVE-2026-106070, CVE-2026-106071, CVE-2026-106072, CVE-2026-106073, CVE-2026-106074, CVE-2026-111497, CVE-2026-28330
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.