Eine Datei, die du gar nicht angefordert hast, kann reichen: Wenn deine Node-Anwendung Brotli-komprimierte Daten von außen auspackt, steckt im Dekoder ein Fehler, der laut Projekt Codeausführung aus der Ferne ermöglichen kann. Am 21. Oktober 2026 hat das Node.js-Team die Fixes veröffentlicht. Seit dem 22. Oktober ist ein öffentlicher Proof-of-Concept im Umlauf.
DAS IST PASSIERT: Ein Schreibfehler im Dekoder
Die Lücke trägt die Kennung CVE-2026-111497. Es handelt sich um einen Out-of-Bounds-Write im Brotli-Dekoder, den Node.js mitbringt. Auslöser sind manipulierte komprimierte Daten. Node.js stuft die Lücke als hoch ein; eine konkrete CVSS-Zahl nennt die Berichterstattung nicht.
Den Fix hat das Brotli-Projekt selbst geliefert. Die Änderung steckt dort seit Februar 2026 im Quellcode. Am 21. Oktober erschienen dazu die Brotli-Releases 1.2.1, 1.1.1 und 1.0.10. Wichtig: Auch andere Software, die Brotli mitliefert, kann damit ein Update brauchen.
WO DU ANGREIFBAR BIST
Gefährlich wird es dort, wo fremde Brotli-Daten in deinen Code laufen. Zwei typische Wege:
- Eingehende Requests — etwa ein komprimierter Request-Body, den dein Server entpackt.
- Antworten von anderen Servern — Node.js entpackt Brotli automatisch, wenn
fetch()eine komprimierte Antwort erhält. Der Dekoder läuft außerdem direkt übernode:zlib.
Betroffen sind die Linien 22.x, 24.x und 26.x. Die Fixes stecken in 22.23.4, 24.22.1 und 26.12.1.
WIE GEFÄHRLICH IST DER PoC WIRKLICH?
Hier lohnt der nüchterne Blick. Der Proof-of-Concept vom 22. Oktober erreichte Codeausführung nur auf einem absichtlich abgeschwächten Test-Build. Auf einem normalen Build meldete der Autor einen Absturz und ein begrenztes Auslesen von Prozessspeicher. Angriffe in freier Wildbahn sind laut Bericht bisher nicht bekannt.
Das ist kein Freibrief. Öffentliche PoCs sind der Startschuss für Nachbauten, und ein Absturz ist für einen Dienst schon ein Problem. Es gibt außerdem keinen Workaround — das Update ist die einzige Lösung. Vercel hat am 21. Oktober Firewall-Regeln gegen den Angriff in eingehenden Requests eingeführt. Diese schützen aber nicht vor Brotli-Antworten, die dein Server selbst von anderen Servern abruft.
NEUN WEITERE LÜCKEN IM GLEICHEN PAKET
Das Release schließt insgesamt zehn Schwachstellen. Drei weitere sind als hoch eingestuft:
- CVE-2026-106069 — Umgehung der TLS-Hostnamenprüfung mit einer nicht-kanonischen IP-Schreibweise.
- CVE-2026-105483 — dieselbe Art von Umgehung mit Ziffern in Vollbreite (24.x, 26.x). Der Fix-Commit nennt den Fehler selbst schwer ausnutzbar.
- CVE-2026-105482 —
dns.resolveschneidet Namen an einem Null-Byte ab.
Dazu kommen mittlere und niedrige Fehler, etwa bei Keep-Alive-Sockets, bei randomUUID() in Startup-Snapshots und im Permission Model. Mitgeliefert werden Updates für undici, c-ares, OpenSSL und SQLite.
EXTRA: eMudhra-Schlüssel jetzt blockiert
Die Releases sperren zusätzlich acht Zwischenzertifikat-Schlüssel der indischen CA eMudhra, die vor wenigen Tagen als erratbar aufgeflogen waren. Drei emSign-Wurzeln fliegen aus der mitgelieferten Liste. Go hatte denselben Block schon am 20. Oktober eingebaut. Eine Verbindung aus einer Sitzung, die vor dem Update begann, wird erst nach deren Ablauf neu geprüft.
SO GEHST DU VOR
- Version prüfen:
node --versionauf Servern und in Container-Images. - Aktualisieren auf 22.23.4, 24.22.1 oder 26.12.1 — und Images neu bauen, nicht nur Hosts patchen.
- Node.js 20 und älter: Diese Linien sind am Ende ihrer Laufzeit und bekommen den Fix nicht. Zieh auf eine unterstützte Version um.
- Andere Brotli-Nutzer prüfen: Wenn Programme die Bibliothek separat mitbringen, brauchst du dort 1.2.1, 1.1.1 oder 1.0.10.
FAZIT: Kein Panikfall, aber ein Pflichttermin
Der PoC ist bisher zahm, aber die Kombination aus öffentlichem Code, fehlendem Workaround und einem Dekoder, der in vielen Web-Diensten automatisch läuft, spricht für schnelles Handeln. Wer selbst gehostete Node-Dienste im Homelab betreibt, sollte heute noch die Container-Images aktualisieren.