Bug in Node.js maakte op afstand uitvoeren van code mogelijk

Node.js heeft een patch uitgebracht voor een ernstige bug die het mogelijk maakte op afstand code uit te voeren. De kwetsbaarheid zat in compressielibrary Brotli. Het Nationaal Cyber Security Centrum (NCSC) schat de kans op misbruik niet heel hoog in, maar áls de bug wordt uitgebuit, kan de schade ernstig zijn.

De bug wordt ook wel Node2Shell genoemd door Aikido, dat de kwetsbaarheid als eerste ontdekte en dat bij Node.js aandroeg. De bug wordt getrackt onder CVE-2026-111497. De kwetsbaarheid stelt een aanvaller in staat om op afstand zonder authenticatie een bufferoverflow te veroorzaken. Daardoor is het mogelijk om informatie uit het geheugen te achterhalen, een dienst geforceerd te stoppen en in ernstige gevallen zelfs code uit te voeren op een systeem. Andere beveiligingsonderzoekers hebben inmiddels een proof-of-concept van de bug getoond.

De bug zit specifiek in de Brotli-decoder. Dat is een compressiebibliotheek van Google, waarvan Node.js een eigen versie gebruikt. De kwetsbare library zit in versies 22.x, 24.x en 26.x van Node.js. In versies 22.23.4, 24.11.1 en 26.12.1 zijn de library's gepatcht. Versies 20.x, 23.x en 25.x van Node.js zijn al langer end-of-life en krijgen geen updates meer.

Inmiddels waarschuwt ook het Nederlandse Nationaal Cyber Security Centrum voor de bug. "Het Nationaal Cyber Security Centrum (NCSC) beoordeelt de kans op misbruik als 'gemiddeld', maar de mogelijke schade als 'groot'. Het advies is om de nieuwste beveiligingsupdates zo snel mogelijk te installeren", schrijft de instantie.

Reacties (17)

[FrostHex]

Is closed source juist nu niet veiliger dan open source in the age of ai (die razendsnel miljoenen lines of code kan doorspitten op programmeerfouten).

[Reactie gewijzigd door FrostHex op 23 oktober 2026 21:50]

[multiplexer]

Interessante vraag. Ik speelde ook met die gedachte. Maar als je vervolgens ziet dat close-source software zoals Photoshop ook puur op basis van extern-observeerbaar gedrag nagebouwd kan worden op het niveau van ArtCraft... dan vraag ik me af of dat voordeel lang blijft bestaan.

Waarschijnlijk zal AI vrij snel in staan zijn ook zonder de broncode, maar puur op basis van de gecompileerde binary, dit soort kwetsbaarheden te vinden.

Ja, dat zijn twee heel verschillende use-cases, maar ik bedoel te zeggen dat het begrip van hoe code/algoritmes werken dat AI's ten toon spreidden zo hard toeneemt dat ze waarschijnlijk de human-readable source niet persé nodig zullen hebben om een 'mentaal' model van wat de binary doet te vormen, en dus kwetsbaarheden te beredeneren.

[Reactie gewijzigd door multiplexer op 23 oktober 2026 21:55]

[imqqmi]

Als de binaries beschikbaar zijn is closed source geen heel grote barriere want je kunt de binary decompileren (zie REA (reverse engineer anything) en ghidra) en door AI laten annoteren en zoeken naar kwetsbaarheden. Op die manier worden veel routers, TVs, telefoons etc de firmware reverse engineered om er eigen software op te laten draaien bijvoorbeeld. Of een virus/malware/backdoor/botnet/ransomware erin te installeren als je minder goede bedoelingen hebt.

De gedachte nu is dat bedrijven hun binaries in de cloud laten draaien zodat hackers niet over de optie beschikken deze in te zien, tenzij ze 't platform zelf kunnen hacken en de source/binaries kunnen downloaden natuurlijk.

[TD-er]

Nou bijv. Fortinet heeft ook met enige regelmaat spoed-exploit-fixes terwijl dat zeker niet OpenSource is.

En ook Cisco en ongetwijfeld ook vele anderen die me niet zo snel te binnen schieten.

Ik weet zo even geen closed source internet-connected software te verzinnen. Vraag me ook af hoeveel daarvan meer 'in stilte' gepatcht wordt omdat dat niet zozeer draait in omgevingen waar de gemiddelde Tweakers bezoeker mee te maken heeft en/of dat dat via dealers gaat die dan ook dergelijke spoed updates doorvoeren.

Kortom, met de meer closed software waar een zeer uitgebreid service/licentie-model aan hangt krijg je daar minder van mee.

Maar wel interessante vraag of daar nu ook veel sneller veel ernstige bugs gevonden worden.

[Tozz]

Je hebt gemist dat Windows per patch-tuesday tegenwoordig 1000+ bugs fixed? Meerendeel daarvan is door AI gevonden.

Het gebeurt ook vrij regelmatig dat een exploit door AI wordt gemaakt door de oude en de nieuwe binaries te vergeljiken en op basis daarvan te achterhalen wat er lek was.

[Olaf van der Spek]

Gevonden door MS zelf, en MS heeft de code natuurlijk wel..

[Sp3ci3s8472]

Los daarvan hebben ze al een tijd mot met een white/gray hat hacker die constant Windows lekken lekt. Dus ga er maar van uit dat het ook met closed-source software makkelijk kan.

[Kallik]

Je hebt gemist dat Windows per patch-tuesday tegenwoordig 1000+ bugs fixed? Meerendeel daarvan is door AI gevonden.

...door een AI gevonden die Microsoft gebruiktte om die bugs te vinden door het de source code van Windows te geven. Niet door een AI gevonden die willekeurige mensen konden gebruiken en loslaten op Windows' binaries en dat is juist het punt van de vraag hier.

Het gebeurt ook vrij regelmatig dat een exploit door AI wordt gemaakt door de oude en de nieuwe binaries te vergeljiken en op basis daarvan te achterhalen wat er lek was.

...wat dus een probleem is dat al opgelost was.

[Reactie gewijzigd door Kallik op 23 oktober 2026 22:17]

[Riqy]

wat niet betekend dat iedereen die patches al geinstalleerd heeft, waardoor misbruik nog steeds mogelijk blijft

[Heroic_Nonsense]

Voer maar eens een closed-source gecompileerde executable aan AI en vraag het om die om te zetten naar source code.

Dat werkt dus prima. En die source code is voor ons mensen lastig leesbaar (want: obscure functienamen en variables), maar een AI kan die code prima ontcijferen en er lekken in vinden.

[Snowman_sir]

Thanks gelijk een update gedaan

[GenGF]

Na PHP2Shell kon je er op wachten dat er meer incidenten zo'n label gingen krijgen. Ben benieuwd hoe de komende twee weken er uit komen te zien, na o.a. Heartbleed en Shellshock verbaast het mij niet dat er oude, niet-ontdekte bugs in veelgebruikte talen/bibliotheken zitten.

Hoe eerder we hier tegenaan lopen hoe beter 🤷

[elmuerte]

Klinkt een beetje als mee proberen te liften op de hype door het node2shell te noemen. Dus waarschijnlijk een nothing burger. Niet lang na log4shell was er ook een spring4shell wat een enorme nothing burger was.

Een ergerlijk probleem in de security wereld is toch wel de aandachtsgeilheid. Zo veel drama. Maar ook de "time to marketing" wens die voor serieuze problemen zorgt door coordinated disclosures te saboteren.

[Giga_]

Helemaal eens. Node2Shell is wel erg overdreven. Er zijn wel grotere vulnerabilities geweest die ze dan node2shell hadden mogen noemen

[L01]

Wij mochten nog even voor het weekend al onze images die gebruikt maakten van Node updaten en uitrollen. Misschien overdreven maar we hoeven iig voor deze CVE ons geen zorgen te maken dit weekend.

[Biggg]

Wel gaaf, met AI wordt nu alle open source code dusdanig doorgespit door iedereen en nogwat, dat er straks gewoon uberhaupt geen bugs meer in zitten. Meer secure dan dat wordt het niet.

We moeten nu gewoon even door de zure appel heen bijten. Maar ik denk dat dit een tijdelijke fase is. Uiteindelijk zal het een zege zijn.

[blender]

Is het niet 24.22.1 in plaats van 24.11.1? Zie https://nodejs.org/en/blo...er-2026-security-releases