Das Node.js-Projekt hat am 11. November 2026 Sicherheitsupdates für die weiterhin unterstützten Versionszweige 22.x, 24.x und 26.x veröffentlicht. Die neuen LTS-Stände 22.23.5, 24.22.3 und 26.13.1 schließen eine Reihe von Schwachstellen in HTTP/2, TLS, HTTP und weiteren Komponenten. Mehrere der behobenen Probleme sind mit dem Schweregrad High eingestuft.
Administratoren und Betreiber von Webanwendungen sollten insbesondere serverseitige Node.js-Installationen zeitnah aktualisieren. Nach Angaben des Projekts liegt die höchste Schwachstellenbewertung in allen drei gepflegten Versionszweigen bei High; nicht mehr unterstützte Node.js-Versionen sollen bei Sicherheitsveröffentlichungen grundsätzlich als betroffen betrachtet werden.
Drei gepflegte Versionszweige erhalten Sicherheitsupdates
Für die drei aktuell relevanten Linien stehen seit dem 11. November folgende Versionen bereit:
- Node.js 22.x: 22.23.5 LTS „Jod“
- Node.js 24.x: 24.22.3 LTS „Krypton“
- Node.js 26.x: 26.13.1 LTS „Lithium“
Das Node.js-Projekt hatte die Sicherheitsveröffentlichung zuvor angekündigt und für alle drei Zweige den höchsten Schweregrad High genannt. Die veröffentlichten Release Notes bestätigen nun die konkreten Korrekturen. Die Sicherheitsankündigung des Node.js-Projekts verweist zugleich darauf, dass End-of-Life-Versionen bei solchen Sicherheitsreleases grundsätzlich als betroffen gelten.
Mehrere Lücken betreffen HTTP/2 und TLS
Ein Schwerpunkt der Aktualisierung liegt auf Fehlern in der HTTP/2-Verarbeitung. Zu den mit High bewerteten Korrekturen gehören unter anderem Probleme beim Freigeben von Headern entfernter Streams, beim Umgang mit von nghttp2 aufgegebenen Streams sowie bei Puffern und ausstehenden Schreibvorgängen. Ebenfalls mit High bewertet sind mehrere TLS-bezogene Schwachstellen.
Die Versionen 24.22.3 und 26.13.1 beheben zusätzlich CVE-2026-126051. Die Node.js-Release Notes beschreiben die Schwachstelle als aus der Ferne erreichbaren Absturz eines TLS-Servers. Daneben korrigieren die Releases weitere Sicherheitsprobleme mit mittlerem und niedrigem Schweregrad, darunter Fehler in HTTP, HTTPS, Berechtigungsprüfungen und zlib.
Die vollständigen Änderungen sind in den offiziellen Release Notes für Node.js 22.23.5, Node.js 24.22.3 und Node.js 26.13.1 dokumentiert.
Was Betreiber jetzt prüfen sollten
Relevant ist das Update vor allem für Systeme, auf denen Node.js dauerhaft als Serverlaufzeit eingesetzt wird – etwa für Webanwendungen, APIs, Build-Dienste oder selbst betriebene Plattformen. Dort sollte zunächst festgestellt werden, welcher Versionszweig tatsächlich installiert ist. Anschließend sollte innerhalb desselben unterstützten Zweigs auf den aktuellen Sicherheitsstand gewechselt und die Anwendung mit ihren Abhängigkeiten getestet werden.
Besondere Aufmerksamkeit verdienen Anwendungen, die HTTP/2 oder TLS intensiv nutzen. Die Sicherheitskorrekturen greifen in zentrale Netzwerk- und Protokollpfade ein. Ein Update sollte deshalb nicht auf unbestimmte Zeit verschoben werden, zugleich empfiehlt sich bei produktiven Systemen ein kurzer Funktions- und Lasttest nach dem Versionswechsel.
Wer noch einen nicht mehr unterstützten Node.js-Zweig betreibt, sollte das Sicherheitsrelease nicht als ausreichende Lösung für die eigene Installation missverstehen. Das Projekt weist ausdrücklich darauf hin, dass End-of-Life-Versionen bei Sicherheitsveröffentlichungen als betroffen anzusehen sind. In diesem Fall ist der Wechsel auf einen unterstützten Versionszweig erforderlich.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten