Am 26. Oktober 2026 veröffentlichte Fortinet den Sicherheitshinweis FG-IR-26-187, in dem zehn Node.js-Schwachstellen aufgelistet sind, die die Linien 22.x, 24.x und 26.x betreffen. Der Hinweis ist als kritisch eingestuft (CVSSv3 9.8) und umfasst mehr als 40 Fortinet-Produkte, deren Status noch untersucht wird. Die gefährlichste der aufgeführten Schwachstellen — CVE-2026-111497 — ermöglicht Remote Code Execution durch einen Out-of-Bounds-Write im Brotli-Decoder und ist bereits in den CISA-KEV-Katalog mit einer Behebungsfrist bis zum 10. November 2026 aufgenommen. Organisationen, die Produkte von Fortinet oder Node.js einsetzen, müssen ihre Verwundbarkeit umgehend bewerten und ihre Laufzeitumgebungen aktualisieren.
Zehn Schwachstellen: Was im Oktober-Release von Node.js behoben wurde
Am 21. Oktober 2026 veröffentlichte das Node.js-Projekt Sicherheitsupdates, die 10 Schwachstellen beheben. Nach Angaben von Qualys weisen vier davon eine hohe Kritikalität auf:
- CVE-2026-111497 (High) — Out-of-Bounds-Write im Brotli-Decoder, die eine Beschädigung des Prozessspeichers, Datenlecks oder Remote Code Execution ermöglicht. Betrifft Node.js 22.x, 24.x und 26.x.
- CVE-2026-105482 (High) — Abschneidung der DNS-Auflösung bei Vorhandensein eingebetteter NUL-Zeichen. Betrifft 22.x, 24.x und 26.x.
- CVE-2026-105483 (High) — Umgehung der TLS-Hostname-Validierung unter Verwendung vollbreiter Ziffern. Betrifft 24.x und 26.x.
- CVE-2026-106069 (High) — Umgehung der TLS-Hostname-Validierung mit nicht-kanonischen IP-Adressen. Betrifft 22.x, 24.x und 26.x.
Weitere drei Schwachstellen (CVE-2026-105481, CVE-2026-106072, CVE-2026-106074) haben mittlere Kritikalität und betreffen alle drei Linien. Drei Schwachstellen mit niedriger Kritikalität (CVE-2026-106070, CVE-2026-106071, CVE-2026-106073) betreffen überwiegend 26.x.
Die behobenen Node.js-Versionen sind: 22.23.4, 24.22.1 und 26.12.1, gemäß dem offiziellen Sicherheitshinweis von Node.js.
CVE-2026-111497: Von der Schwachstelle zum Exploit in wenigen Tagen
Die zentrale Schwachstelle des Hinweises — CVE-2026-111497 — verdient besondere Aufmerksamkeit wegen des schnellen Übergangs von der Offenlegung zur aktiven Ausnutzung. Wir haben diese Schwachstelle bereits ausführlich analysiert — im Kontext ihrer Auswirkungen auf das Brotli-Ökosystem.
Ein wichtiger Aspekt bei der Bewertung der Kritikalität: Node.js vergibt für CVE-2026-111497 den Schweregrad High, während Rapid7 und Qualys einen CVSS 9.2 Critical vom CNA angeben. Fortinet nennt in seinem Hinweis einen CVSSv3 9.8, allerdings bezieht sich dieser Wert auf die Metadaten des Multi-Schwachstellen-Dokuments und ist mit CVE-2026-106069 verknüpft — ihn auf alle zehn CVEs zu übertragen, wäre nicht korrekt.
Die Chronologie der Ausnutzung änderte sich rasant. Nach Angaben von Rapid7 war zum 26. Oktober 2026 noch keine aktive Ausnutzung festgestellt worden. Bereits am 27. Oktober nahm CISA CVE-2026-111497 jedoch in den KEV-Katalog auf, und das Unternehmen Previdian verzeichnete einen Exploit-Versuch auf seinen Sensoren. Es ist zu betonen: Die Telemetrie von Previdian erfasst einen Versuch der Ausnutzung, keine bestätigte Kompromittierung — Daten über erfolgreiche Angriffe oder Opfer liegen bislang nicht vor.
Wie Rapid7 anmerkt, ist eine Ausnutzung nur möglich, wenn die Anwendung von einem Angreifer kontrollierte Daten im Brotli-Format über das Modul node:zlib dekomprimiert. Das bedeutet, dass nicht jeder Node.js-basierte Dienst demselben Risiko ausgesetzt ist — das Bedrohungsniveau hängt davon ab, ob ein Verarbeitungspfad für nicht vertrauenswürdige Brotli-Daten existiert.
Ausmaß der Auswirkungen auf Fortinet-Produkte
Der Hinweis FG-IR-26-187 listet mehr als 40 Fortinet-Produkte mit dem Status „wird untersucht“ auf, darunter FortiOS, FortiProxy, FortiSIEM, FortiMail, FortiSandbox, FortiNAC, FortiEDR, FortiSASE und viele weitere. Das bedeutet nicht, dass alle genannten Produkte verwundbar sind — die Untersuchung läuft noch.
Gleichzeitig hat Fortinet bestätigt, dass eine Reihe von Produkten nicht betroffen ist: FortiManager, FortiAnalyzer, FortiClient (EMS, iOS, macOS, Windows), FortiAuthenticator, FortiWeb, FortiSOAR, FortiCamera und andere. Organisationen, die Fortinet-Produkte einsetzen, müssen die Aktualisierungen des Hinweises verfolgen, um den endgültigen Status für jedes Produkt zu erhalten.
Fortinet ist bei Weitem nicht der einzige Hersteller, der die Auswirkungen bewertet. Sicherheitshinweise zu CVE-2026-111497 haben Cisco, F5, Red Hat, Ubuntu, Amazon Linux, Envoy Proxy, Bun, Microsoft .NET und andere veröffentlicht. Nach Angaben von Wiz enthalten in ihrem Datensatz 91 % der Cloud-Umgebungen Ressourcen, die gegenüber CVE-2026-111497 verwundbar sind, und 82 % verfügen über öffentlich zugängliche Node.js-Instanzen. Diese Zahlen spiegeln die Stichprobe von Wiz wider und sind keine allgemeingültige Einschätzung, weisen aber auf das Ausmaß der potenziellen Angriffsfläche hin.
Praktische Empfehlungen
Die Priorität für Updates sollte anhand der Erreichbarkeit des verwundbaren Codes festgelegt werden:
- Höchste Priorität — internet-exponierte Dienste, die nicht vertrauenswürdige Brotli-Daten verarbeiten (Webserver mit Unterstützung für Content-Encoding: br, API-Gateways, Proxys). Aktualisieren Sie Node.js auf die Versionen 22.23.4, 24.22.1 oder 26.12.1.
- Hohe Priorität — Dienste, die ausgehende DNS-Abfragen oder TLS-Verbindungen auf Basis von Benutzerdaten durchführen (relevant für CVE-2026-105482, CVE-2026-105483, CVE-2026-106069).
- Standardpriorität — interne Dienste ohne Verarbeitung externer Daten.
Entscheidend ist: Wie Qualys hervorhebt, befindet sich der verwundbare Code in der Node.js-Laufzeit selbst und nicht in den Anwendungspaketen. Standardprüfungen von Abhängigkeiten über npm audit können das Problem möglicherweise nicht erkennen. Die Inventarisierung muss Container, Single-Executable-Applications (SEA), Serverless-Funktionen, durch Versionsmanager verwaltete Umgebungen und eingebettete Kopien der Laufzeit abdecken.
Node.js bietet keine Workarounds — ein Update ist die einzige vollständige Möglichkeit zur Behebung. Organisationen, die nicht mehr unterstützte Node.js-Versionen einsetzen, müssen auf eine unterstützte Linie wechseln. Für Nutzer von Fortinet-Produkten gilt: Verfolgen Sie die Aktualisierungen des Hinweises FG-IR-26-187, um den endgültigen Status für jedes Produkt zu erhalten. Die von CISA für US-Bundesbehörden geforderte Frist zur Behebung läuft am 10. November 2026 ab; für kommerzielle Organisationen ist es sinnvoll, sich am gleichen Zeithorizont zu orientieren.
