Wenn die App, die Website, der Onlineshop oder die API Ihres Unternehmens mit Node.js entwickelt wurde, einschließlich Next.js-Websites und Backends mit Express oder NestJS, bitten Sie Ihren Entwickler noch heute, Node.js auf Version 22.23.4, 24.22.1 oder 26.12.1 zu aktualisieren und den Server danach neu zu bauen und neu zu starten. Das Node.js-Projekt hat diese Versionen am 21. Oktober 2026 veröffentlicht, um eine als Node2Shell bekannte Schwachstelle (CVE-2026-111497) zu schließen. Sie ist mit 9.2 von 10 bewertet und erlaubt einem Angreifer ganz ohne Passwort, Code auf Ihrem Server auszuführen, indem er speziell präparierte komprimierte Daten sendet. Die saudische Nationale Behörde für Cybersicherheit (NCA) hat eine Warnung der Stufe „sehr hoch“ herausgegeben, und am 27. Oktober bestätigte die US-Cybersicherheitsbehörde CISA, dass die Schwachstelle in echten Angriffen ausgenutzt wird.

Was genau ist passiert?

Die Schwachstelle steckt in Brotli, einem Kompressionsformat, mit dem Webserver und Browser die ausgetauschten Daten verkleinern, und Node.js bringt eine eigene Kopie des Brotli-Decoders von Google mit. Laut dem Sicherheitshinweis von Node.js bringen fehlerhafte komprimierte Eingaben den Decoder dazu, über das Ende eines internen Puffers hinaus zu schreiben. Das kann die Anwendung zum Absturz bringen, den Inhalt ihres Speichers preisgeben oder einem Angreifer erlauben, Code auszuführen. Der Hinweis nennt das Team Codex Security von OpenAI als Melder der Schwachstelle, und dieselbe Veröffentlichung schloss insgesamt 10 Schwachstellen, 4 davon mit hohem Schweregrad.

Danach ging alles schnell. Am 22. Oktober, einen Tag nach dem Fix, führte das Red Team von Imperva Code auf dem offiziellen Node.js-Image 24.22.0 aus, und zwar über zwei alltägliche Wege: die eingebaute Funktion fetch() und Request-Bodys, die Express 5 verarbeitet. Am 26. Oktober zeichnete ELLIO echten Angriffsverkehr mit öffentlich verfügbarem Exploit-Code auf. Am 27. Oktober nahm CISA die Schwachstelle in ihren Katalog aktiv ausgenutzter Schwachstellen auf.

Der Fehler selbst ist alt. Laut dem CVE-Eintrag betrifft er die Brotli-Versionen 1.0.3 bis 1.2.0, und OpenAI zufolge war die eigentliche Ursache schon im Februar 2026 im Brotli-Quellcode behoben worden, ohne dass jemand wusste, dass es sich um eine Sicherheitslücke handelte, und ohne neue Version, bis am 21. Oktober Brotli 1.2.1 erschien. Falls Ihnen das bekannt vorkommt: Letzte Woche haben wir über PHP2Shell berichtet, die Lücke, die PHP- und WordPress-Server öffnete. Node2Shell ist dieselbe Art von Risiko für Anwendungen, die mit JavaScript gebaut sind.

Ist meine App betroffen?

Node.js betreibt die Serverseite eines großen Teils moderner Websites, der Backends mobiler Apps, von Dashboards und APIs. Wenn Ihr System in den letzten Jahren von einer Agentur oder einem freiberuflichen Entwickler gebaut wurde, ist die Wahrscheinlichkeit hoch, dass es auf Node.js läuft, ohne dass Sie es wissen. Betroffen sind die Versionslinien 22.x, 24.x und 26.x vor den korrigierten Versionen sowie die Linien 20.x, 23.x und 25.x ohne Support, die laut dem Node.js-Projekt immer betroffen sind und keinen Fix mehr erhalten.

Node.js allein macht Sie noch nicht angreifbar: Irgendetwas muss die Daten des Angreifers an den Decoder weiterreichen. Forscher nennen drei häufige Wege:

  • Eingehende komprimierte Anfragen. Die Body-Parser von Express 5, body-parser 2 und Koa entpacken Brotli-komprimierte Request-Bodys automatisch, noch bevor Ihr eigener Code läuft.
  • Inhalte, die Ihr Server abruft. Wenn Ihre App externe Links öffnet, etwa für Linkvorschauen, Webhooks, Crawler oder KI-Agenten, die Webseiten lesen, kann eine feindliche Website mit präparierten komprimierten Daten antworten. Die eingebaute Funktion fetch() von Node, axios und serverseitige Abrufe in Frameworks wie Next.js entpacken sie automatisch.
  • Dateien, die Nutzer hochladen. Jeder Code, der Brotli-Daten entpackt, die ein Kunde oder Besucher geliefert hat.

Das Risiko reicht über Node.js hinaus. Die Warnung der NCA nennt auch Python, Bun und Envoy, und Microsoft hat am 25. Oktober Updates für .NET 8, 9, 10 und 11, Visual Studio 2019, 2022 und 2026 sowie PowerShell 7.4 bis 7.6 veröffentlicht und die Schwachstelle für .NET als kritisch eingestuft, mit der Bewertung „Exploitation More Likely“. Microsoft weist darauf hin, dass die Brotli-Dekomprimierung in .NET standardmäßig nicht aktiviert ist; betroffen sind also nur Anwendungen, die sie eingeschaltet haben.

Wenn Ihre Website bei Vercel gehostet wird: Das Unternehmen schreibt in seinem Hinweis, dass es am selben Tag, an dem Node.js den Fix veröffentlichte, für alle Projekte Firewall-Regeln eingeführt hat, die den eingehenden Angriffsweg blockieren, und dass alle neuen Deployments seit dem 28. Oktober ein gepatchtes Node.js nutzen. Bestehende Projekte müssen neu deployt werden, und Projekte, die noch auf Node.js 20 laufen, müssen auf 22 oder 24 wechseln.

Was Sie heute tun sollten: fünf Schritte

  1. Stellen Sie eine schriftliche Frage. Welche Node.js-Version läuft auf unseren Servern und in unseren Docker-Images? Bitten Sie Ihren Entwickler, die Node.js-Versionsnummer mit dem Befehl node -v zu prüfen. Verlassen Sie sich nicht auf die Brotli-Versionsangabe: ELLIO hat festgestellt, dass sie bei gepatchten und ungepatchten Builds gleichermaßen 1.2.0 anzeigt.
  2. Aktualisieren Sie auf eine korrigierte Version. 22.23.4, 24.22.1 oder 26.12.1. Wenn Sie auf 20.x, 23.x oder 25.x sind, wechseln Sie auf eine unterstützte Linie wie 22 oder 24 und testen Sie vor dem Livegang.
  3. Neu bauen und neu starten. Ein laufender Prozess behält den alten Code. Bauen Sie Container-Images auf einem gepatchten Basis-Image neu, denn ein Dockerfile, das auf 24.22.0 festgelegt ist, liefert weiter die verwundbare Version aus, bis jemand diese Zeile ändert. Prüfen Sie auch Staging-Server, Build-Pipelines und Serverless-Funktionen.
  4. Aktualisieren Sie die anderen Kopien. Die Python-Pakete Brotli und brotlicffi (Versionen 1.2.1 und 1.2.1.0), Bun, Envoy, die Brotli-Bibliothek Ihrer Linux-Distribution und .NET über das Microsoft-Update vom 25. Oktober.
  5. Prüfen Sie Logs und Absturzdateien. Suchen Sie nach ungewöhnlich großen Brotli-komprimierten Anfragen und wiederholten Abstürzen von Prozessen. ELLIO warnt, dass die meisten fehlgeschlagenen Angriffe den Prozess abstürzen lassen und dass eine Absturzdatei Sitzungscookies und Schlüssel von Besuchern enthalten kann. Beschränken Sie daher, wer Absturzdateien (core dumps) lesen darf und wie lange Sie sie aufbewahren.

Wenn Sie heute nicht aktualisieren können

Blockieren Sie als vorübergehende Maßnahme auf Ihrem Frontend-Server oder in Ihrer Firewall eingehende Anfragen mit dem Header Content-Encoding: br, sofern Ihre App sie nicht braucht. Vercel und Imperva haben Firewall-Regeln für diese Schwachstelle ergänzt, doch Vercel selbst betont, dass eine Firewall keine Antworten abdeckt, die Ihr Server von anderen Websites abruft: Nur das Node.js-Update schließt diesen Weg. Betrachten Sie jede Schutzschicht als gewonnene Zeit, nicht als Ersatz für das Update.

Die Sicht von Origami

Zwei kritische Schwachstellen im Fundament des Webs innerhalb eines Monats, erst PHP2Shell und dann Node2Shell, erzählen eine klare Geschichte: Der Code, den Ihr Team geschrieben hat, kann in Ordnung sein, während die Laufzeitumgebung darunter offen steht. Der Fix für Node2Shell lag etwa acht Monate im Brotli-Quellcode, bevor jemand verstand, dass es um ein Sicherheitsproblem ging, und als die Details öffentlich wurden, brauchten Forscher einen Tag, um Code auf einem offiziellen Build auszuführen. Was wir in vielen Unternehmen sehen, ist eine App, die vor Jahren ausgeliefert wurde, ohne dass jemand für ihre Updates zuständig ist, und ohne eine Liste, wo Node.js tatsächlich läuft. Wenn das auf Sie zutrifft, beginnen Sie diese Liste noch heute. Bei Origami entwickeln wir Web-Apps und Systeme, viele davon auf Node.js und Next.js, und behalten die Updates ihrer Laufzeitumgebung vom ersten Tag an im Blick. Wenn Sie Ihre App prüfen oder Node.js ohne Ausfallzeit aktualisieren lassen möchten, kontaktieren Sie uns.

Quellen