Kritische Node.js-Schwachstelle Node2Shell entdeckt

Picus Security hat eine kritische Sicherheitslücke mit der Bezeichnung Node2Shell (CVE-2026-111497) analysiert, die den Node.js-Runtime betrifft. Die mit einem CVSS-Wert von 9,2 bewertete Schwachstelle liegt in der in Node.js integrierten Brotli-Dekompressionsbibliothek und kann dazu führen, dass Angreifer Befehle remote ausführen, Dienste zum Absturz bringen oder Daten abgreifen.

Die Ursache liegt in der fehlerhaften Verarbeitung von Brotli-Datenströmen. Ein speziell präparierter Datenstrom führt dazu, dass der Dekoder interne Fehler ignoriert und den Vorgang in einem beschädigten Zustand fortsetzt, was einen Speicherzugriffsfehler (Out-of-Bounds Write) auslöst. Anwendungen, die unvertrauenswürdige Daten dekomprimieren, sind dadurch direkt gefährdet.

Node.js hat für die unterstützten Versionen 22.23.4, 24.22.1 und 26.12.1 Sicherheitsupdates veröffentlicht. Da sich die Versionen 20.x und 25.x bereits im End-of-Life-Status befinden, erhalten diese keine Korrekturen. Auch die Laufzeitumgebung Bun ist in Versionen bis einschließlich 1.4.3 betroffen. Picus Security weist darauf hin, dass bei Systemen, die auf systemweite Brotli-Bibliotheken zurückgreifen, entsprechende Paketaktualisierungen des Betriebssystems notwendig sein können.

Zur Unterstützung bei der Risikobewertung hat Picus Security Simulationstests in seine Threat-Library aufgenommen. Unternehmen sind angehalten, ihre Systeme zu prüfen und zeitnah zu aktualisieren, um Angriffe auf Cloud-Anmeldedaten und die Einschleusung von Schadsoftware zu verhindern.