Node.js-Schwachstellen

Prüfe Node.js-Laufzeiten auf CVE-2026-111497 (Node2Shell) und ordne Versionsbefunde, Backports und Abdeckungslücken ein.

Der Check Node.js-Schwachstellen prüft entdeckte Node.js-Laufzeiten auf Windows, Linux und macOS anhand ihrer Version auf CVE-2026-111497 (Node2Shell). Er läuft auf dem Gerät, standardmäßig alle 60 Minuten. Er führt keinen Angriffstest durch und ist kein allgemeiner Node.js-Schwachstellenscanner.

Voraussetzungen

Auf dem Gerät ist der octoja-Agent installiert und verbunden.
Der Agent kann die zu prüfenden Node.js-Dateien und die relevanten Verzeichnisse lesen.

Schritte

Gehe zu Geräte und öffne das Gerät.
Klicke im Tab Checks auf Check hinzufügen → Node.js-Schwachstellen.
Ergänze bei Installationen außerhalb der üblichen Verzeichnisse Zusätzliche Pfade.
Klicke auf Check hinzufügen.
Öffne nach dem ersten Lauf das Ergebnis. Prüfe neben den gefundenen Installationen auch die Lücken in der Abdeckung.

Für viele Geräte weist du den Check über ein Konfigurationspaket zu.

Einstellungen

Feld	Typ	Erforderlich	Standard	Beschreibung
Zusätzliche Pfade	Liste von Pfaden	Nein	Leer	Absolute Pfade zu Node.js-Dateien oder Verzeichnissen, z. B. `C:\tools\node\node.exe` oder `/opt/app/node`. Zusätzliche Verzeichnisse werden nur begrenzt durchsucht. Relative oder fehlende Pfade führen zu einer Abdeckungslücke.

Der Check sucht über laufende Prozesse, PATH und übliche Installationsverzeichnisse nach Node.js, auch in den Benutzerverzeichnissen von Versionsmanagern wie nvm, fnm, Volta, asdf und mise. Unter Linux nutzt er zusätzlich die Paketverwaltung (dpkg-query oder rpm), unter macOS auch Homebrew.

Achtung: Die Suche betrifft nur den Host. Container und in Anwendungen gebündelte Laufzeiten wie Electron oder Bun sind nicht abgedeckt. Auch zusätzliche Pfade aktivieren keine vollständige Datenträgersuche. Ein Ergebnis OK ist kein Nachweis, dass jede Node.js-Kopie auf dem Gerät sicher ist.

Ergebnisse

Die Detailansicht zeigt je Installation Pfad, Version, Paket (falls zugeordnet), Ergebnis und Begründung. Das Gesamtergebnis ist der schlechteste Schweregrad der Installationen und Abdeckungslücken.

Der Check verwendet diese Mindestversionen aus den Node.js-Sicherheitsreleases vom 21. Oktober 2026:

Release-Linie	Korrigiert ab
22	22.23.4
24	24.22.1
26	26.12.1

Befund	Ergebnis
Stabile Version erreicht die Mindestversion ihrer Release-Linie	OK für diese Installation
Version 22, 24 oder 26 unter der Mindestversion, ohne zugeordnetes Linux-Anbieterpaket	Kritisch
Ältere Release-Linie ohne Support (z. B. 20 oder 23), ohne zugeordnetes Linux-Anbieterpaket	Kritisch – es gibt keine Korrektur; wechsle auf 22.x, 24.x oder 26.x
Linux-Anbieterpaket unter der Mindestversion	Warnung – Anbieter-Backports und Brotli-Bibliothek der Distribution prüfen; eine Schwachstelle ist damit nicht bestätigt
Version unbekannt, nicht bewertbar oder eine Vorabversion	Warnung – manuelle Prüfung erforderlich
Keine Installation entdeckt	Warnung – kein Nachweis, dass Node.js nicht installiert ist
Pfad nicht zugänglich, konfigurierter Pfad fehlt, Paket-/Prozessinventar nicht verfügbar oder Suchlimit erreicht	Mindestens Warnung; ein kritischer Versionsbefund bleibt kritisch
Ein noch laufender Prozess verweist auf eine gelöschte Node.js-Datei	Mindestens Warnung – Neustart der betroffenen Anwendung prüfen

Pakete von NodeSource bewertet der Check wie Upstream-Versionen anhand ihrer Versionsnummer.

Bei Abdeckungslücken prüfst du die angegebenen Pfade, Zugriffsrechte und die Verfügbarkeit der Paket- bzw. Prozessabfrage. Ergänze für nicht gefundene Installationen möglichst gezielte zusätzliche Pfade statt großer Verzeichnisbäume.

FAQ

Warum bleibt ein aktualisiertes Linux-Paket auf Warnung?

Distributionen bauen Node.js oft gegen die Brotli-Bibliothek des Systems und können die Korrektur zurückportieren, ohne die angezeigte Node.js-Version anzuheben. Der Check prüft diese Backports nicht automatisch. Vergleiche das angezeigte Paket samt Version mit den Sicherheitsmeldungen deines Distributionsanbieters für CVE-2026-111497. Eine Warnung allein bestätigt keine Verwundbarkeit.

Was ist nach einem Node.js-Update zu tun?

Starte die Anwendungen und Dienste neu, die Node.js verwenden, und lasse den Check erneut laufen. Ein Prozess, der noch die alte, inzwischen ersetzte Datei ausführt, erscheint als Abdeckungslücke. Entferne außerdem nicht mehr benötigte alte Node.js-Versionen, etwa in Versionsmanagern, oder aktualisiere sie ebenfalls.

Warum bleibt die Version einer gefundenen Installation unbekannt?

Eine gefundene Datei liefert nicht immer eine auswertbare Version. Unter Linux und macOS führt der Check Node.js zur Versionsabfrage nur aus, wenn die Datei und ihre übergeordneten Verzeichnisse root gehören und weder für die Gruppe noch für andere Benutzer schreibbar sind. Bei Installationen von Versionsmanagern liest er stattdessen die mitgelieferte Versionsdatei. Prüfe unbekannte Versionen manuell; lockere dafür nicht die Dateirechte.

Siehe auch: PHP-Schwachstellen · Alarmierung für einen Check einrichten

War dies hilfreich?

Brauchen Sie noch Hilfe? Team fragen