Fortinet hat am 26. Oktober 2026 ein Advisory zu elf Schwachstellen in Node.js veröffentlicht. Der höchste CVSSv3-Wert liegt bei 9,8. Eine Lücke im Brotli-Decoder soll Codeausführung aus der Ferne erlauben. Betroffen sind die Linien 26.x, 24.x und 22.x; Fixversionen nennt die Quelle nicht.
Inhalt 6 Abschnitte
Elf Schwachstellen in Node.js, der höchste CVSSv3-Wert liegt bei 9,8. Fortinet listet sie in einem neuen Advisory und nennt die betroffenen Versionen.
Das Fortinet-PSIRT hat sein Advisory zu Node.js am 26. Oktober 2026 erstmals veröffentlicht. Ein späteres Update nennt die Quelle nicht. Der Beitrag fasst zusammen, was dort steht. Zu Patches, Fixversionen oder Angriffen im Netz macht die Quelle keine Angaben.
Das Wichtigste in Kürze
- Elf CVEs betreffen Node.js. Vier davon stuft Fortinet als hoch ein, drei als mittel, drei als niedrig. Bei einer hohen Einstufung steht CVE-2026-111497.
- Der Brotli-Decoder hat einen Schreibfehler ausserhalb des Speichers. Laut Advisory ermöglicht er Codeausführung aus der Ferne.
- Drei Hauptversionen sind betroffen. Die meisten CVEs gelten für Node.js 26.x, 24.x und 22.x, eine nur für 26.x und 24.x.
- Der CVSSv3-Wert beträgt 9,8. Fortinet nennt ihn im Kopf des Advisorys, ordnet ihn aber keiner einzelnen CVE zu.
Was Fortinet zu den Node.js-Lücken sagt
Das Advisory führt die Schwachstellen nach Schweregrad auf. Beschreibungen gibt es kaum. Nur zu CVE-2026-111497 steht ein Satz zur Ursache: Ein Fehler im Brotli-Decoder schreibt ausserhalb des vorgesehenen Speicherbereichs. Das erlaubt laut Quelle die Ausführung von Code aus der Ferne.
Brotli ist ein Verfahren zur Datenkompression. Wo Node.js solche Daten entpackt, liegt der mögliche Angriffspunkt. Welche Wege ein Angreifer nutzen müsste, nennt das Advisory nicht.
| Kennzahl | Wert | Was das bedeutet |
|---|---|---|
Höchster CVSSv3-Wert |
9,8 |
Kritische Einstufung im Kopf des Advisorys |
Anzahl CVEs |
11 |
4 hoch, 3 mittel, 3 niedrig |
Betroffene Versionen |
26.x, 24.x, 22.x |
Die meisten CVEs gelten für alle drei |
Veröffentlichung |
26. Oktober 2026 |
Erstveröffentlichung durch Fortinet |
Welche Version von welcher Lücke betroffen ist
Nicht jede CVE trifft jede Version. Die Quelle trennt so:
- 26.x, 24.x und 22.x: CVE-2026-105482, CVE-2026-106069, CVE-2026-111497, CVE-2026-105481, CVE-2026-106072, CVE-2026-106074 und CVE-2026-106073.
- 26.x und 24.x: CVE-2026-105483.
- Nur 26.x: CVE-2026-106070 und CVE-2026-106071.
Damit trifft die 22.x-Linie einen Grossteil der Liste. Wer auf 26.x läuft, ist von allen elf Einträgen betroffen.
Das Advisory nennt zudem zahlreiche Fortinet-Produkte, darunter FortiGate, FortiAnalyzer, FortiWeb und FortiMail. Eine Zuordnung, welches Produkt welche CVE betrifft, liefert der gelieferte Text nicht. Die vollständigen Angaben stehen im Fortinet-Advisory.
Einordnung: Was das für Admins in der Schweiz heisst
Admins und Entwicklerteams sollten zuerst klären, welche Node.js-Version auf ihren Servern und in ihren Containern läuft. Betroffen sind laut Quelle die Linien 26.x, 24.x und 22.x. Wer Fortinet-Produkte betreibt, findet im Advisory die Produktliste und sollte dort nachlesen. Fristen oder Kosten nennt die Quelle nicht. Da eine Fixversion im gelieferten Text fehlt, bleibt unbestätigt, welche Release die Lücken schliesst. Prüfe dazu die Hinweise des Node.js-Projekts und von Fortinet.
Fazit
Du weisst jetzt, dass elf Node.js-Lücken bekannt sind und dass eine davon Codeausführung aus der Ferne erlauben soll. Nächster Schritt: Inventar der eingesetzten Node.js-Versionen erstellen und das Advisory von Fortinet lesen. Danach auf die Patch-Hinweise der Hersteller warten und Updates einplanen, sobald sie erscheinen.
Quellen: Fortinet PSIRT. Foto: Henryphoto / Pixabay. Stand: 26. Oktober 2026.
Geschrieben von der Redaktion · Freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.