Schwachstelle vom 27. Oktober 2026 · CVE-2026-111497

Node.js Out-of-bounds Write

9,8 CVSS · kritischAktiv ausgenutzt

Out-of-bounds Write in Node.js. Über das Netzwerk angreifbar, ohne Anmeldung, ohne Zutun eines Nutzers. CVSS 9,8 (kritisch). Laut CISA wird die Lücke bereits ausgenutzt. Behoben in 22.23.4, 24.22.1 und 26.12.1.

Sicherheitshinweis des Herstellers

nodejs.org · Maßgeblich sind die Angaben des Herstellers.

Auf einen Blick

CVE

CVE-2026-111497

Produkt

Node.js

Hersteller

OpenJS Foundation

Betroffene Versionen

< 22.23.4
≥ 23.0.0, < 24.22.1
≥ 25.0.0, < 26.12.1

laut NVD

Behoben in

22.23.4, 24.22.1, 26.12.1

CVSS

9,8 (kritisch)
CVSS 3.1, bewertet von der NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Aktiv ausgenutzt

Ja, laut CISA (im KEV-Katalog seit 27. Oktober 2026)

Schwachstellentyp

CWE-252, CWE-787 (Out-of-bounds Write)

Veröffentlicht

22. Oktober 2026

Zuletzt geändert

30. Oktober 2026

Was zu tun ist

Auf eine behobene Version aktualisieren: 22.23.4, 24.22.1 und 26.12.1 oder neuer, je nach eingesetztem Versionszweig.
Den Bericht des Herstellers lesen: Er nennt die genauen Versionen und, falls vorhanden, Workarounds für den Fall, dass ein Update nicht sofort möglich ist.
Weil die Lücke bereits ausgenutzt wird: nach dem Update prüfen, ob das System vorher kompromittiert wurde.
Auch Test-, Staging- und vergessene Installationen derselben Software prüfen.

Sicherheitshinweis des Herstellers ↗

Originalbeschreibung

Englisch, aus dem CVE-Eintrag. Die Zusammenfassung oben ist aus den strukturierten Daten erstellt.

A buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0 on all platforms allows a remote unauthenticated attacker to corrupt adjacent decoder state memory, disclose sensitive memory contents, cause a denial of service, or potentially execute arbitrary code using a crafted Brotli-compressed stream. Users need to update any Brotli libraries or binaries between 1.0.3 through 1.2.0 to the latest available version: 1.0.10 or 1.1.1 or 1.2.1.
Bezeichnung bei CISA: Google Brotli Unchecked Return Value Vulnerability

Offizielle Referenzen

github.com/andybalholm/brotli/releases/tag/v1.2.7Release Notes
nodejs.org/en/blog/vulnerability/october-2026-security-releasesAdvisory Dritter
broccoli2shell.comAdvisory Dritter
github.com/advisories/GHSA-9v8h-qqgm-4m35Advisory Dritter
github.com/dotnet/announcements/issues/494IssueWorkaroundAdvisory Dritter
github.com/google/brotli/releases/tag/v1.0.10Release Notes
github.com/google/brotli/releases/tag/v1.1.1Release Notes
github.com/google/brotli/releases/tag/v1.2.1Release Notes
lists.debian.org/debian-lts-announce/2026/10/msg00049.htmlMailinglisteAdvisory Dritter
patchtheplanet.org/brotliAdvisory Dritter
aikido.dev/blog/node2shell-nodejs-brotli-rce-cve-2026-111497Advisory Dritter
cert-portal.siemens.com/productcert/html/ssa-045512.htmlAdvisory Dritter
cert-portal.siemens.com/productcert/html/ssa-443410.htmlAdvisory Dritter
cert-portal.siemens.com/productcert/html/ssa-898633.htmlAdvisory Dritter
ellio.tech/en/blog/node2shell-cve-2026-111497-rce-on-stock-nodejs-buildsAdvisory Dritter
cisa.gov/known-exploited-vulnerabilities-catalogUS-Behörde

Quellen

Daten aus der NVD (NIST) und dem KEV-Katalog der CISA, abgerufen am 1. November 2026. Diese Seite nutzt Daten der NVD-API, ist aber weder von der NVD gebilligt noch zertifiziert. Alle Angaben ohne Gewähr.

Eintrag in der NVD ↗Eintrag bei CVE.org ↗KEV-Katalog der CISA ↗

Welche Software-Versionen gibt Ihre Website nach außen preis? Der kostenlose Security-Check prüft es.

Kostenlos prüfen