LONDON (IT BOLTWISE) – Node.js liefert Sicherheitsupdates für die Release-Linien 22.x, 24.x und 26.x nach und schließt insgesamt 16 Schwachstellen. Besonders kritisch sind HTTP/2-Probleme, bei denen ein Server auf unsachgemäße Timing-Bedingungen reagieren kann: entweder mit einem Crash oder mit einem Speicherabfluss in die falsche Verbindung. Die fixes liegen je nach Linie bei 22.23.5, 24.22.3 und 26.13.1. Eine offizielle Minderung ist im Advisory nicht vorgesehen, wodurch sich ein Update zur zentralen Maßnahme macht.
Mit dem aktuellen Node.js-Sicherheitsupdate verschiebt sich der Fokus in der Praxis deutlich von „klassischen“ Web-Fehlern hin zu Transport- und Protokoll-Implementierungen. In dem Advisory werden 16 Schwachstellen im Laufzeitkern adressiert, darunter sieben als „high“ eingestufte Fälle. Besonders relevant ist das für Betreiber, die in ihren Anwendungen die in Node integrierte HTTP/2- und TLS-Server-Funktionalität direkt nutzen, etwa über node: http2 oder eigene Server-Setups, die darauf basieren.
Die wohl kritischste Klasse betrifft HTTP/2: Eine Lücke (CVE-2026-123863) kann einen Server zum Absturz bringen, wenn ein Angreifer eine typische Serverreaktion ausnutzt. Entscheidend ist dabei das Zusammenspiel aus Timing und Request-Parsing: Ein nicht authentifizierter Client löst den Crash, sobald der Server bereits antwortet, bevor der Request-Body vollständig beim Handler angekommen ist. Das funktioniert laut Advisory sowohl über TLS-verschlüsselte Verbindungen als auch über Klartext (also ohne TLS). In denselben betroffenen Release-Linien werden auch Speicherlecks beschrieben: CVE-2026-123866 erlaubt, dass ein Server einem Client Teile aus dem Speicher des Prozesses „mitliefert“, darunter Antworten, die eigentlich für andere Verbindungen gedacht waren.
Aus Sicht der Engineering-Umsetzung lohnt der Blick auf die Bedingungen, weil sie erklären, warum ein „einfaches“ Aktualisieren in vielen Fällen tatsächlich die einzige robuste Abhilfe ist. Für CVE-2026-123866 gilt: Ab Versionen ab 24.22.0 und 26.9.0 reicht die Interaktion des Clients allein, um die Ausnutzung anzustoßen. Auf älteren Builds in den 22.x-Linien sowie auf 24.x/26.x vor den genannten Schwellen kann die Auslösung zusätzlich durch das Serververhalten begünstigt werden, etwa wenn der Server einen Stream vorzeitig beendet, zum Beispiel nach einem Idle-Timeout. Für die HTTPS/TLS-spezifische Lücke (CVE-2026-123864) wird das Muster weiter präzisiert: Ein Handler muss res.flushHeaders() aufrufen, bevor der Request-Body vollständig vorliegt, und später res.end() mit Daten ausgeben. Darüber hinaus benötigt es eine Route, die einen Request-Body entweder zurücksendet oder speichert, weil erst dadurch der geleakte Speicherinhalt im Anwendungsfluss sichtbar werden kann.
Neben diesen beiden HTTP/2-Schwerpunkten nennt das Advisory weitere hochriskante Fälle, die sich eher an typische Betriebs- und Implementierungsvarianten in Node-Prozessen „anheften“. So kann CVE-2026-123865 bewirken, dass ein Client einen Default-HTTP/2-Server dazu bringt, Speicher und File Descriptors dauerhaft zu halten, was in der Praxis schnell Richtung Ressourcenerschöpfung und Denial-of-Service laufen kann. Ebenfalls auf HTTP/2-Seite zielt CVE-2026-123874 auf Speicher-Korruption im Servercode, wenn der Server Dateien über stream.respondWithFile() oder stream.respondWithFD() ausliefert; das Advisory erwähnt zudem, dass das Abbrechen solcher Downloads den Server ebenfalls zum Absturz bringen kann (CVE-2026-123875, „medium“ bewertet). Für TLS wird außerdem CVE-2026-126051 genannt: Ein Client kann einen TLS-Server auf 24.x und 26.x crashen, wenn der Server bestimmte Hooks oder Kontextpfade nutzt, etwa SNICallback, OCSPRequest, neue Session-/Resume-Session-Hooks oder server.addContext(). Ergänzend beschreibt CVE-2026-123872 ein Umgehungsszenario bei restriktiveren Client-Zertifikatsregeln: Ein Client, der für einen Hostnamen „freigegeben“ wurde, kann während einer TLS 1.2 Renegotiation auf einen strengeren Hostnamen umschalten, ohne dessen Regeln einzuhalten.
Für Entscheider und Security-Teams ist dabei weniger die genaue CVE-Taxonomie entscheidend als die Update-Logik. Das Advisory führt als einzige Gegenmaßnahme das Aktualisieren auf die gepatchten Versionen pro Linie auf: 22.23.5, 24.22.3 und 26.13.1. Wenn Systeme noch nicht schnell genug updaten können, bleibt dem Betreiber dem Text zufolge kein offizielles Workaround, auf das man sich operativ verlassen dürfte. Interessant ist zudem, dass End-of-life-Linien wie 20.x und 25.x in dieser Veröffentlichung keine Fixes erhalten; das Advisory betont, dass solche Versionen „immer betroffen“ sind. Gleichzeitig nennt das Advisory keine konkreten Hinweise auf aktive Ausnutzung der Schwachstellen; ebenso äußert es sich nicht dazu, ob Betreiber nach dem Update geläufige Geheimnisse wie TLS-Keys ersetzen sollten, selbst wenn deren Handler-Konstellation zu CVE-2026-123864 passt.
Auch für die Rolle der Entwicklerteams in der Anwendungsschicht gibt es eine klare Konsequenz: Wer HTTP/2- und HTTPS-TLS-Server direkt in Node betreibt, sollte nicht nur „Server laufen lassen“, sondern auch die Handler-Pfade prüfen, die mit dem Timing der Request-Body-Freigabe und dem Einsatz von Header-Flush zusammenhängen. Das Advisory nennt darüber hinaus als Meldende mehrere Beteiligte: Fünf der genannten Lücken (darunter CVE-2026-123863 und CVE-2026-123864) wurden laut Text in Zusammenarbeit mit Chris Rohlf sowie Claude und Anthropic Research gemeldet. Für die Sicherheitslage bedeutet das vor allem, dass die Schwachstellen dort liegen, wo Protokollzustände und Memory-Lebenszyklen sich überschneiden – also in Bereichen, die in Container- oder Microservice-Setups oft „automatisch“ mitlaufen, aber selten gezielt auditiert werden. Wer hier priorisiert, reduziert nicht nur das unmittelbare Crash- oder Leak-Risiko, sondern senkt auch die Wahrscheinlichkeit, dass ähnliche Timing-Fehler in der eigenen Architektur über Jahre unbemerkt bleiben.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Node.js behebt 16 Sicherheitslücken: HTTP/2-Server können abstürzen oder Daten leaken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Node.js behebt 16 Sicherheitslücken: HTTP/2-Server können abstürzen oder Daten leaken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Node.js behebt 16 Sicherheitslücken: HTTP/2-Server können abstürzen oder Daten leaken« bei Google Deutschland suchen, bei Bing oder Google News!