Node.js heeft patches uitgebracht voor tien kwetsbaarheden, waaronder een kritieke remote code execution in de Brotli decoder.
Op 21 oktober 2026 heeft Node.js beveiligingsupdates uitgebracht voor tien kwetsbaarheden in de ondersteunde versies 22.x, 24.x en 26.x. Vier van deze kwetsbaarheden zijn als hoog risico geclassificeerd. De ernstigste, CVE-2026-111497, betreft een out-of-bounds write in de ingebouwde Brotli decoder, die kan leiden tot remote code execution. Omdat deze fouten in de Node.js runtime zelf zitten en niet in applicatiepakketten, worden ze niet gedetecteerd door dependency scans.
De vier hoog-risico kwetsbaarheden hebben betrekking op twee essentiële onderdelen waar vrijwel elke Node.js-service mee werkt: het verwerken van gecomprimeerde data en het maken van uitgaande verbindingen. De kwetsbaarheid in de Brotli decoder treft elke dienst die Brotli-gecomprimeerde data verwerkt die niet zelf is aangemaakt. Daarnaast zijn er drie andere ernstige kwetsbaarheden die de validatie van hostnamen en certificaten ondermijnen, wat cruciaal is voor diensten die namens gebruikers verbinding maken met externe hosts.
Er zijn geen workarounds beschikbaar; het upgraden van de runtime is de enige oplossing. Ook zijn er nog geen CVSS-scores toegekend aan deze CVE’s. Alleen de versies 22.x, 24.x en 26.x zijn gepatcht; oudere of niet-ondersteunde versies zoals 20.x en 25.x blijven kwetsbaar en moeten worden geüpdatet naar een ondersteunde release. Het updaten van applicatieafhankelijkheden alleen is niet voldoende, omdat de kwetsbare code in de runtime zelf zit, die ook kan voorkomen in container images, single-executable applicaties en runtimes op niet-standaard locaties.
De kwetsbaarheden bestrijken meerdere modules zoals zlib, DNS, TLS, HTTP, crypto en het permissiemodel. Drie van de vier hoog-risico kwetsbaarheden verzwakken de validatie van hostnamen of certificaten, wat impact heeft op alle diensten die TLS- of DNS-aanroepen doen namens gebruikers. Node.js-gebruikers wordt geadviseerd om hun runtimes grondig te scannen, ook buiten standaard installatielocaties, en prioriteit te geven aan systemen die direct aan het internet zijn blootgesteld. Na het toepassen van patches is het belangrijk om te verifiëren dat de kwetsbaarheden daadwerkelijk zijn verholpen.
Deze updates zijn onderdeel van de security releases van oktober 2026 van Node.js.
