CVE-2026-111497: beveiligingsupdate voor Node.js
Voor CVE-2026-111497 is een beveiligingsupdate uitgebracht. De kwetsbaarheid zit in de Brotli-decoder die met Node.js wordt meegeleverd. Gebruik je een zelf geïnstalleerde Node.js-versie op ons platform, dan moet je deze zelf controleren en bijwerken.
Aanleiding
Het NCSC beoordeelt de kans op misbruik als gemiddeld en de mogelijke schade als groot. Het advies is om de beschikbare beveiligingsupdates zo snel mogelijk te installeren.
Technische details
Een aanvaller kan speciaal aangepaste, met Brotli gecomprimeerde gegevens aanbieden. Wanneer een applicatie deze uitpakt via de ingebouwde Node.js-functionaliteit (node:zlib), kan buiten een gereserveerde geheugenbuffer worden geschreven.
Dit kan leiden tot het vastlopen van de applicatie, het uitlekken van gegevens uit het procesgeheugen of uitvoering van kwaadaardige code. Misbruik vereist dat de applicatie door een aanvaller aangeleverde Brotli-gegevens uitpakt.
Voor de ondersteunde Node.js-reeksen gelden de volgende versies. De versies in de rechterkolom bevatten de correctie voor deze CVE.
| Node.js-reeks | Kwetsbare versies | Verholpen vanaf |
|---|---|---|
| 22.x | Lager dan 22.23.4 | 22.23.4 |
| 24.x | Lager dan 24.22.1 | 24.22.1 |
| 26.x | Lager dan 26.12.1 | 26.12.1 |
Nieuwere versies binnen dezelfde reeks bevatten deze correctie eveneens.
Node.js 20, 23, 25 en andere verouderde reeksen ontvangen geen reguliere beveiligingsupdates meer vanuit het Node.js-project. Gebruik je zo’n versie, stap dan over naar een ondersteunde, bijgewerkte reeks.
Wat doen wij?
Met dit bericht informeren we je over de kwetsbaarheid en de beschikbare updates.
Op ons platform starten veel gebruikers zelf een Node.js-versie, bijvoorbeeld via Supervisor of PM2. Deze versies vallen dan buiten ons automatische softwarebeheer en moeten handmatig worden vervangen voor een nieuwe, veilige versie. De centrale Node.js package op de server zelf zal wel automatische worden bijgewerkt.
Moet je iets doen?
Ja, als je zelf een kwetsbare Node.js-versie in gebruik hebt:
- Controleer per applicatie welke Node.js-versie daadwerkelijk wordt gestart door Supervisor of PM2. De versie in je SSH-sessie kan daarvan afwijken.
- Installeer een bijgewerkte versie uit de tabel. Pas waar nodig het Node.js-pad of de interpreter in de opstartconfiguratie aan.
- Herstart de betrokken applicatieprocessen met de bijgewerkte Node.js-versie en controleer of ze daarmee draaien.
De oplossing vereist een update van Node.js zelf. Alleen het bijwerken van npm-packages verhelpt deze kwetsbaarheid niet.