Muss ich als HostBott-Kunde mit Node.js-Hosting etwas tun?

Nein. Wir haben alle Node.js-Websites am 25. Oktober 2026 auf eine korrigierte Node.js-Version aktualisiert. Sie müssen nichts unternehmen.

Ist meine WordPress- oder PHP-Website betroffen?

Nein. Die Lücke steckt in Node.js. Websites, die mit PHP laufen, also auch WordPress, sind davon nicht betroffen.

Ich nutze noch Node.js 18 oder 20. Was nun?

Für diese Versionen gibt es keine offizielle Korrektur mehr. Wechseln Sie auf eine aktuelle Version. Bei HostBott bieten wir Node.js 24 und 26 an. Unser Support hilft Ihnen gerne beim Umstieg.

Ich habe einen eigenen VPS, den ich selbst verwalte. Was muss ich tun?

Prüfen Sie mit node -v, welche Version läuft, und aktualisieren Sie auf 22.23.4, 24.22.1 oder 26.12.1 oder neuer. Starten Sie danach Ihre Anwendung neu.

Node2Shell: Was die Node.js-Sicherheitslücke für Ihre Anwendung bedeutet

Am Mittwoch, 21. Oktober 2026, hat das Node.js-Projekt Korrekturen für mehrere Sicherheitslücken veröffentlicht. Eine davon hat schnell einen eigenen Namen bekommen: Node2Shell. Der Name erinnert nicht zufällig an PHP2Shell, die PHP-Lücke aus derselben Woche.

In diesem Artikel erklären wir ohne Fachchinesisch, worum es geht, wer betroffen ist und was wir bereits für Sie erledigt haben.

Das Wichtigste vorweg: Wenn Ihre Node.js-Anwendung bei HostBott läuft, müssen Sie nichts tun. Seit dem 25. Oktober 2026 laufen alle Node.js-Websites unserer Kundinnen und Kunden mit einer korrigierten Version. Websites mit PHP und WordPress waren von dieser Lücke nie betroffen.

Was ist Node.js überhaupt?

Node.js ist eine Laufzeitumgebung, mit der JavaScript auf dem Server läuft. Viele moderne Websites und Web-Apps bauen darauf auf, zum Beispiel Anwendungen mit Next.js, Nuxt, Astro, Express oder NestJS.

Für Besucherinnen und Besucher ist Node.js unsichtbar. Es arbeitet im Hintergrund und erzeugt die Seiten, die im Browser erscheinen.

Was ist passiert?

Websites und Server verschicken Daten oft komprimiert, damit sie schneller ankommen. Ein verbreitetes Verfahren dafür heisst Brotli. Node.js bringt einen eigenen Brotli-Entpacker mit, und genau darin steckt der Fehler. Er trägt die offizielle Kennung CVE-2026-111497.

Vereinfacht gesagt: Erhält der Entpacker gezielt fehlerhafte Daten, schreibt er über den Rand eines kleinen internen Speicherbereichs hinaus. Im harmlosesten Fall stürzt die Anwendung ab. Im schlimmsten Fall könnten Angreifer damit eigenen Programmcode auf dem Server ausführen.

Das Node.js-Projekt stuft die Lücke als «hoch» ein. Einzelne Sicherheitsfirmen bewerten sie mit 9.2 von 10 Punkten sogar als kritisch.

Wer ist betroffen?

Betroffen sind Anwendungen mit Node.js 22, 24 oder 26, die komprimierte Daten aus fremder Hand entpacken. Typische Fälle sind:

Eingehende Anfragen: Die Anwendung nimmt komprimierte Daten von Besucherinnen und Besuchern entgegen, zum Beispiel über Express 5 oder body-parser 2.
Abrufe bei fremden Servern: Die Anwendung lädt mit fetch() Inhalte von Servern, die nicht unter ihrer Kontrolle stehen.
Direktes Entpacken: Die Anwendung nutzt die Brotli-Funktionen von Node.js direkt.

Das Node.js-Projekt hat korrigierte Versionen herausgegeben: 22.23.4, 24.22.1 und 26.12.1. Für Node.js 20 und 18 gibt es offiziell keine Korrektur mehr. Wer diese Versionen einsetzt, sollte auf eine aktuelle Version wechseln.

Wichtig: Ein Update des npm-Pakets «brotli» in Ihrem Projekt hilft nicht. Der fehlerhafte Code ist fest in Node.js selbst eingebaut. Nur ein Update von Node.js schliesst die Lücke.

Wird die Lücke schon ausgenutzt?

Sicherheitsforscher haben gezeigt, dass sich über die Lücke Programmcode ausführen lässt. Der Angriff gelang aber nicht zuverlässig.

Angriffe in freier Wildbahn sind bisher nicht bekannt. Auch die US-Behörde für Cybersicherheit (CISA) führt die Lücke nicht in ihrer Liste aktiv ausgenutzter Schwachstellen.

Was wir für Sie getan haben

Anders als bei PHP2Shell haben wir hier nicht innerhalb von Stunden aktualisiert, sondern nach vier Tagen. Den Grund sagen wir offen: Es gab keine bekannten Angriffe. Ausserdem greift die Lücke nur, wenn eine Anwendung fremde Brotli-Daten entpackt. Wir haben die neuen Versionen deshalb erst sorgfältig gebaut und getestet, bevor wir sie eingespielt haben.

Der Ablauf in Schweizer Zeit:

21. Oktober: Das Node.js-Projekt veröffentlicht die Korrekturen.
25. Oktober, 13:57 Uhr: Unser Kundenportal und diese Website laufen mit Node.js 24.22.1.
25. Oktober, ab 13:57 Uhr: Neue Node.js-Websites entstehen direkt mit der korrigierten Version.
25. Oktober, 22:28 bis 22:39 Uhr: Wir aktualisieren alle bestehenden Node.js-Websites auf Node.js 24.22.1 beziehungsweise 26.12.1.

Jede Node.js-Website wurde dabei einmal neu gestartet. Ihre Daten und Einstellungen bleiben dabei unverändert.

Was Sie tun müssen

Node.js-Hosting bei HostBott: Nichts. Wir kümmern uns darum.

Webhosting, WordPress oder Nextcloud bei HostBott: Nichts. Diese Dienste laufen mit PHP und sind von Node2Shell nicht betroffen.

Eigener VPS, den Sie selbst verwalten: Hier liegt die Verantwortung für die Software bei Ihnen. Prüfen Sie zuerst, welche Version läuft:

node -v

Zeigt der Befehl eine ältere Version als 22.23.4, 24.22.1 oder 26.12.1, aktualisieren Sie Node.js auf dem Weg, über den Sie es installiert haben. Das kann der Paketmanager Ihres Systems sein, ein Werkzeug wie nvm oder ein Docker-Image. Starten Sie danach Ihre Anwendung neu, damit die neue Version auch tatsächlich verwendet wird. Falls Sie unsicher sind, melden Sie sich bei unserem Support. Wir helfen Ihnen gerne.

Weiterführende Informationen

Offizielle Mitteilung des Node.js-Projekts (Englisch)
Technische Analyse von Imperva (Englisch)

Haben Sie Fragen zu Ihrer Anwendung? Schreiben Sie uns über das Kundenportal oder per Mail an support@hostbott.ch. Wir antworten Ihnen persönlich.

Stand: 26. Oktober 2026. Alle Node.js-Websites unserer Kundinnen und Kunden sind aktualisiert.