Node.js-Sicherheitslücken 2026: Was bei mittwald passiert ist und wer noch handeln muss
Executive Summary
Am 22. Oktober 2026 schränkte mittwald betroffene Node.js-Umgebungen vorsorglich ein. Um 19:42 Uhr MESZ meldete der Hosting-Partner den Vorfall als gelöst: Seine verwalteten Anwendungen waren gepatcht. Für selbst verwaltete Anwendungen in Containern oder auf Root-Servern bleibt die Aktualisierung in eigener Verantwortung erforderlich. Dieser Vorfall ist von den vorherigen PHP-Sicherheitslücken zu unterscheiden.
Erst PHP, dann Node.js: Was steckt hinter der zweiten Meldung?
Gerade war nach der PHP-Abschaltung wieder etwas Ruhe eingekehrt, da tauchte auf der mittwald-Statusseite der nächste Name auf: Node.js. Für Kundinnen und Kunden ist die Frage verständlich: Ist schon wieder dieselbe Website betroffen? Und war die vorherige Entwarnung zu früh?
Die Meldungen betreffen unterschiedliche technische Grundlagen. PHP ist beispielsweise die serverseitige Basis von WordPress. Node.js ermöglicht den Betrieb von JavaScript-Anwendungen außerhalb des Browsers. Ob ein konkretes Projekt Node.js einsetzt und von diesem Vorfall betroffen war, muss anhand seiner Umgebung geprüft werden. Aus einem allgemeinen Hosting-Status lässt sich das nicht ablesen.
Was am 22. Oktober bei mittwald passiert ist
mittwald eröffnete den separaten Vorfall #253568 um 14:37 Uhr MESZ. Als Schutzmaßnahme nahm der Anbieter betroffene Umgebungen vorübergehend vom Netz. Die Aktualisierungen wurden anschließend schrittweise ausgerollt. Um 19:42 Uhr meldete mittwald, dass alle betroffenen, vom Anbieter verwalteten Anwendungen gepatcht seien. Die Chronologie des Hosting-Partners dokumentiert diese Schritte.
Welche Sicherheitslücken wurden behoben?
Das Node.js-Projekt veröffentlichte am 21. Oktober Sicherheitsupdates für die Versionsreihen 22, 24 und 26. Zu den behobenen Problemen gehört CVE-2026–111497 im Brotli-Decoder. Wenn eine Anwendung entsprechend manipulierte komprimierte Daten verarbeitet, kann der Fehler unter anderem Abstürze, die Offenlegung von Speicherinhalten oder die Ausführung fremden Codes ermöglichen. Der höchste Schweregrad der Veröffentlichung ist »hoch«.
Die veröffentlichten Sicherheitsversionen lauten 22.23.4, 24.22.1 und 26.12.1. Sie dokumentieren den damaligen Sicherheitsstand. Welche Version heute für ein Projekt geeignet ist, hängt auch von dessen Abhängigkeiten und der aktuellen Unterstützung ab. Technische Einzelheiten stehen im offiziellen Node.js-Sicherheitshinweis.
Wer muss noch selbst aktualisieren?
mittwald weist ausdrücklich auf selbst verwaltete Node.js-Anwendungen in Containern und auf Root-Servern hin: Diese müssen Betreiberinnen und Betreiber selbst aktualisieren. Die Entwarnung für die verwalteten Anwendungen deckt diese Umgebungen nicht ab.
Für ein konkretes Projekt sollten deshalb zuerst Betriebsform, laufende Node.js-Version und Zuständigkeit geklärt werden. Eine Aktualisierung muss die tatsächlich eingesetzte Laufzeit erreichen. Bei einem Container kann dazu ein neues Image und dessen Bereitstellung nötig sein; anschließend sind laufende Version und Anwendungsfunktion zu kontrollieren. Ein aktualisiertes Hostsystem allein belegt keinen aktuellen Stand innerhalb eines Containers.
Was bedeutet das für unsere Kundinnen und Kunden?
Wir führen den Node.js-Vorfall in unserem bestehenden Info-Ticker gesondert auf. Die dortigen grünen Anzeigen beschreiben die Verfügbarkeit der mittwald-Plattform. Sie bestätigen weder eine individuelle Sicherheitsprüfung noch den Patchstand jeder selbst verwalteten Anwendung.
Wenn Ihr Projekt Node.js verwendet oder Sie die Zuständigkeit nicht sicher kennen, sprechen Sie uns bitte mit der betreffenden Website oder Anwendung an. Gemeinsam klären wir, welche Umgebung betrieben wird und welche Prüfung beziehungsweise Aktualisierung erforderlich ist.
Autor
Prof. Dr. Alexander Lutz, Professor für Big Data und KI an der FOM München, Doktor der Humangenetik und Anthropologie, ehemaliger Onlinespiele-Designer und natürlich Gründer und Inhaber der Agentur Die NEOs. Neben den Themen der künstlichen Intelligenz und deren Einsatzmöglichkeiten in der Praxis konzentriert sich Alexander auf die Kundenkommunikation. Neue Problemfelder oder technische Innovationen bereitet er so auf, dass der Nutzen für unsere Kunden deutlich wird. Er schläft zeitverantwortlich und agiert schnell, sein Motto: “Tue es, oder tue es nicht. Es gibt kein Versuchen.”
