Stand 15:35 Uhr: Mittwald hat die Korrektur für die Node.js-Versionen 22, 24 und 26 fertig und spielt sie gerade ein. Die ersten Projekte sind bereits wieder online. Für ältere Node.js-Versionen prüft Mittwald noch, ob sich die Korrektur übertragen lässt. Sie müssen weiterhin nichts tun.
Auf einen Blick
- Node.js hat am 21. Oktober Sicherheitsupdates veröffentlicht. Die schwerste der zehn Lücken (CVE-2026-111497) kann dazu führen, dass fremder Programmcode auf dem Server ausgeführt wird.
- Mittwald hat heute Nachmittag vorsorglich alle Projekte vom Netz genommen, auf denen Node.js installiert ist, und arbeitet an einer Lösung.
- WordPress-Seiten laufen normal weiter. Bei unseren Kunden betrifft die Abschaltung fast ausschließlich Laravel-Programme, die wir entwickelt haben. Sie kommen zurück, sobald Mittwald die Updates eingespielt hat.
Kaum ist die PHP-Lücke geschlossen, kommt die nächste. Diesmal geht es um Node.js, und Mittwald hat auch hier sofort reagiert.
Was Node.js ist#
Node.js ist eine Laufzeitumgebung, mit der Programme in JavaScript auf dem Server laufen. Darauf bauen viele moderne Web-Anwendungen auf, etwa Shop-Oberflächen, Buchungsstrecken, Schnittstellen zwischen zwei Systemen oder Werkzeuge zur Automatisierung. Eine klassische WordPress-Seite braucht Node.js dagegen nicht, sie läuft mit PHP.
Was passiert ist#
Das Node.js-Projekt hat am 21. Oktober Updates für alle noch gepflegten Versionen veröffentlicht: 22.23.4, 24.22.1 und 26.12.1. Sie schließen zehn Lücken, vier davon als schwerwiegend eingestuft. Die wichtigste steckt im Entpacken komprimierter Daten im Brotli-Format. Ein Angreifer kann dort mit präparierten Daten Speicher überschreiben und im ungünstigsten Fall eigenen Code ausführen. Weil Node.js solche Daten an vielen Stellen von selbst entpackt, ist die Lücke leicht zu erreichen.
Ältere Node.js-Versionen, die keine Sicherheitsupdates mehr bekommen, sind laut Node.js-Projekt ebenfalls betroffen und bleiben offen. Wie schon bei PHP hilft hier nur der Wechsel auf eine gepflegte Version.
Die technischen Einzelheiten stehen im Sicherheitshinweis des Node.js-Projekts.
Was Mittwald gemacht hat#
Mittwald hat heute um 14:37 Uhr gemeldet, die betroffenen Umgebungen vorsorglich vom Netz genommen zu haben. Auf unsere Nachfrage hat Mittwald das präzisiert: Abgeschaltet sind alle Projekte, auf denen Node.js installiert ist. Die Teams arbeiten an einer Lösung. Wie bei der PHP-Lücke hält Mittwald den Stand auf seiner Status-Seite fest, dort steht auch, wann die Umgebungen wieder erreichbar sind.
Was das für Sie heißt#
WordPress-Seiten sind nicht betroffen und laufen normal weiter. WordPress läuft mit PHP und braucht Node.js nicht.
Programme, die wir mit Laravel für Sie entwickelt haben, sind derzeit offline. Laravel ist ein Framework in PHP, mit dem wir individuelle Web-Anwendungen bauen, etwa Kundenportale, Webshops und Verwaltungsprogramme. Die Anwendung selbst läuft mit PHP, aber ihre Oberfläche wird mit Node.js zusammengebaut, und deshalb ist Node.js in diesen Projekten installiert. Bei unseren Kunden sind das fast die einzigen Projekte, die Mittwald abgeschaltet hat. Die Anwendungen kommen zurück, sobald Mittwald die Updates eingespielt hat. Sie müssen dafür nichts tun.
Anwendungen auf Node.js brauchen die aktualisierte Version. Liegen sie bei Mittwald, kümmert sich Mittwald gerade darum. Läuft eine solche Anwendung auf einem eigenen Server oder bei Ihnen im Haus, muss sie dort aktualisiert werden. Wenn Sie nicht wissen, ob bei Ihnen etwas mit Node.js läuft, fragen Sie uns. Wir sehen nach.
E-Mails mit Bezug auf den Vorfall sollten Sie gerade besonders genau ansehen. Eine Nachricht, nach der Sie wegen einer Sicherheitslücke ein Passwort eingeben oder eine Rechnung begleichen sollen, ist mit großer Wahrscheinlichkeit gefälscht. Wie solche Mails aussehen, zeigt unser Beitrag zur aktuellen Phishing-Masche.
Bei Fragen zu Ihrem System erreichen Sie uns unter 07153/6136-0 oder über unser Kontaktformular.