Was passiert ist
Am 21. Oktober 2026 hat das Node.js-Projekt Sicherheitsupdates für die Versionslinien 22.x, 24.x und 26.x veröffentlicht. Die schwerwiegendste der zehn behobenen Schwachstellen ist CVE-2026-111497, ein Out-of-Bounds-Write im Brotli-Decoder. Brotli ist ein Kompressionsverfahren, das unter anderem für HTTP-Antworten und Webfonts genutzt wird. Ein manipulierter Brotli-Datenstrom bringt den Decoder dazu, über das Ende eines Speicherpuffers hinaus zu schreiben. Das Node.js-Projekt stuft die Schwachstelle als „High“ ein.
Exploit-Code ist öffentlich verfügbar. Behoben ist die Schwachstelle in Node.js 22.23.4, 24.22.1 und 26.12.1.
Auswirkungen auf die Enginsight-Plattform
Wir haben am 27. Oktober 2026 den Quellcode und die ausgelieferten Container-Images der On-Premises-Installation sowie Hacktor und Observer geprüft. Mehrere Dienste der Plattform liefen auf Node.js <= 24.21.0 und waren damit betroffen. Ausgelöst werden kann die Schwachstelle, wenn ein Dienst Inhalte von einem Server abruft, den Angreifende kontrollieren, etwa bei der Zustellung von Webhook-Benachrichtigungen oder beim Abruf überwachter Webseiten.
Die wahrscheinlichste Folge ist der Absturz des betroffenen Dienstes. Codeausführung ist deutlich aufwendiger, lässt sich aber nicht ausschließen. Hacktor und Observer nutzen für die Darstellung von Webinhalten die Brotli-Bibliothek des Betriebssystems. Dort ist deshalb zusätzlich ein Update des Betriebssystem-Pakets libbrotli1 nötig.
Aktualisierte Container
Ab den folgenden Versionen enthalten die Container Node.js 24.22.1:
| Container | Fix ab Version |
enterprise-ui-m1-1 | 7.17.31 |
enterprise-server-m2-1 | 7.17.80 |
enterprise-scheduler-m29-1 | 2.0.14 |
enterprise-updater-m34-1 | 3.0.18 |
enterprise-historian-m38-1 | 2.4.2 |
enterprise-generator-m35-1 | 1.15.37 |
enterprise-themis-m43-1 | 2.2.59 |
Die Versionsnummern sind Anwendungsversionen der jeweiligen Container. Welche Node.js-Version tatsächlich läuft, können Sie direkt im Container prüfen.
Was Sie jetzt tun sollten
1. Versionsstand der On-Premises-Installation prüfen.
Den Versionsstand sehen Sie im Web-Frontend unter Einstellungen > On-Premises. Alternativ zeigt dieser Befehl auf dem Host die laufenden Container mit ihrer Image-Version:
| sudo docker ps –format ‚{{.Names}} {{.Image}}‘ |
Die Node.js-Version eines Containers prüfen Sie zum Beispiel so:
| sudo docker exec enterprise-server-m2-1 node –version |
Erwartet wird v24.22.1 oder höher.#
2. Container aktualisieren.
Liegt ein Container unter der Version aus der Tabelle, führen Sie das Update der On-Premises-Installation über den gewohnten Weg durch:
| cd /opt/enginsight/enterprise && sudo ./update.sh |
3. Hacktor- und Observer-Systeme aktualisieren.
Ein Update von Hacktor oder Observer allein reicht hier nicht aus, das Betriebssystem-Paket libbrotli1 muss ebenfalls aktualisiert werden. Auf Debian- und Ubuntu-Systemen:
| sudo apt update && sudo apt install –only-upgrade libbrotli1 |
Starten Sie das System anschließend neu, damit laufende Prozesse die korrigierte Bibliothek laden.
Quelle
Primärquelle: Node.js Security Releases vom 21. Oktober 2026
