Node2Shell: Ist Ihre Website tatsächlich gepatcht?
Ihr Host sagt, dass ein Sicherheitsupdate verfügbar ist. Ihr Entwickler sagt, dass die Website noch funktioniert. Keine der beiden Antworten bestätigt, dass das Update installiert wurde. Wenn Ihr Unternehmen von einer Node.js-App abhängt, bitten Sie den Verantwortlichen noch heute, den Sicherheits-Patch in der Live-Anwendung zu bestätigen.
Was sich geändert hat
Node.js ist Software, auf der viele Webanwendungen laufen. Node2Shell ist eine gebräuchliche Bezeichnung für CVE-2026-111497, eine Schwachstelle im mitgelieferten Brotli-Decoder. Brotli komprimiert Daten; ein Decoder entpackt sie.
Das Node.js-Projekt sagt, dass bösartige komprimierte Eingaben den Speicher beschädigen können, wenn eine Anwendung sie entpackt. Mögliche Folgen sind ein Absturz, die Offenlegung von im Speicher gehaltenen Daten oder dass ein Angreifer Code ausführt. Die Sicherheitsupdates vom 2026-10-21 sind Node.js 22.23.4, 24.22.1 und 26.12.1.
Bitten Sie Ihren Verantwortlichen, eine Node.js-Version zu installieren, die den Sicherheits-Patch enthält und noch unterstützt wird. Wenn Ihr Anbieter die Software bereitstellt, fragen Sie nach seinem Security Bulletin und nach der Bestätigung, dass der Patch in Ihrer Live-Anwendung enthalten ist. Die „Runtime“ ist die Software, die die App ausführt.
Der Newsletter von TheTip.ai vom 26. Oktober hat uns auf diese Meldung aufmerksam gemacht. Wir haben die ursprünglichen Hinweise geprüft, um festzustellen, was ein Verantwortlicher bestätigen muss.
Newsletter-Fund: TheTip.ai, 26. OktoberNode.js: Sicherheitshinweis und behobene Releases im Oktober
Prüfen Sie die Version, die in Ihrer App läuft
Das Bulletin von Scalingo erklärt eine Lücke: Das Bereitstellen von Node.js-Versionen, die den Sicherheits-Patch enthalten, aktualisiert eine bereits bereitgestellte App nicht. Die Kundinnen und Kunden müssen eine Runtime mit dem Patch auswählen, die App neu bauen und erneut bereitstellen und dann die Version prüfen. Ein Neustart der bestehenden Bereitstellung ersetzt diese Runtime nicht.
Andere Hoster können Updates anders handhaben. Fragen Sie, ob Ihr Anbieter laufende Apps automatisch aktualisiert oder ob Ihr Entwickler tätig werden muss. Die Antwort sollte Ihre Anwendung eindeutig benennen.
Drei Antworten, die die Aufgabe abschließen
Halten Sie eine kurze Wartungsnotiz mit diesen drei Antworten fest. So können Sie sehen, ob die Arbeit abgeschlossen ist, ohne die Angriffstechnik verstehen zu müssen.
| Frage | Nützliche Bestätigung |
|---|---|
| Was braucht Aufmerksamkeit? | Die betroffene App oder der betroffene Dienst, ihre Laufzeitumgebung und die verantwortliche Person. Schließen Sie verbundene Hintergrundjobs ein, wo relevant. |
| Wurde der Patch installiert? | Die bereitgestellte Laufzeitversionsnummer oder die Bestätigung des Anbieter-Patches, zusammen mit dem Anwendungsnamen und dem Bereitstellungszeitpunkt. |
| Können Kundinnen und Kunden die wichtige Aufgabe noch abschließen? | Eine dokumentierte Prüfung des wichtigen Ablaufs nach dem Update, zum Beispiel eine Testbuchung oder ein Portal-Login, mit freigegebenen Testdaten. |
Die Gefährdung hängt davon ab, was die App entpackt
Laut dem Hinweis von Red Hat setzt eine Ausnutzung voraus, dass eine Anwendung von einem Angreifer bereitgestellte Brotli-Daten dekomprimiert. Die Schwachstelle betrifft auch Software jenseits von Node.js, daher kann eine nur auf Node bezogene Antwort unvollständig sein, wenn andere betroffene Software im Einsatz ist.
Scalingo nennt zwei relevante Pfade: eingehende komprimierte Daten und komprimierte Antworten, die von einem anderen Server abgerufen werden. Das Ausliefern komprimierter Seiten an Besucher nutzt für sich genommen nicht den verwundbaren Decoder. Ein eingehender Filter beantwortet daher nicht jede Frage zur Gefährdung.
Bitten Sie den Verantwortlichen, die laufende Software zu identifizieren und den Hinweisen des jeweiligen Anbieters zu folgen. Wenn bestätigt ist, dass der Dienst nicht betroffen ist, halten Sie diese Erklärung fest. Falls der Anbieter das Update noch nicht installiert hat, fragen Sie nach, welcher vorübergehende Schutz gilt, und vereinbaren Sie, wann Sie erneut nachfragen. Lassen Sie die Aufgabe offen, bis Sie eine Bestätigung erhalten.
Red Hat: betroffene Software und Bedingungen für die GefährdungScalingo: eingehende und ausgehende Dekomprimierungspfade
Eine Nachricht, die Sie anpassen können
Vorgeschlagene Nachricht an Ihren Entwickler oder Hoster: „Bitte prüfen Sie unsere Website und die verbundenen App-Dienste im Hinblick auf CVE-2026-111497. Teilen Sie mir mit, welche Komponenten betroffen sind, wer die Behebung umsetzt und ob unsere Live-Bereitstellung sie bereits enthält. Bitte bestätigen Sie nach dem Update die Laufzeitumgebung oder die Patch-Referenz des Anbieters und prüfen Sie den wichtigsten Kundenablauf. Wenn noch Maßnahmen ausstehen, nennen Sie mir bitte den Zeitpunkt für das nächste Update.“
Dies ist ein vorgeschlagener Text. Passen Sie ihn an die Dienste an, die Ihr Unternehmen nutzt.
Senden Sie die Anfrage an die Person, die die App betreut. Wenn niemand für die Wartung verantwortlich ist, vereinbaren Sie, wer sich künftig um Updates und Support kümmert.
Quellen
Wer betreut Ihre Anwendung?
Wenn die Verantwortung für Updates unklar ist, beschreiben Sie die Lücke. forvertz kann die Regelungen für Wartung und Support Ihrer Anwendung mit Ihnen besprechen.
Besprechen Sie Ihre AnwendungAktualisiert