Lek in Node.js: wat je nu regelt
Op 21 oktober bracht het Node.js-project een beveiligingsupdate uit voor tien lekken. Het ernstigste, CVE-2026-111497, zit in het onderdeel dat met Brotli ingepakte gegevens uitpakt. Met speciaal gemaakte gegevens kan een aanvaller daar buiten het geheugen schrijven. Dat kan een programma laten crashen, geheugen laten uitlekken of, in het ergste geval, code van de aanvaller laten uitvoeren. Het lek zit in alle ondersteunde versies van Node.js en in alle oudere. De versies 22.23.4, 24.22.1 en 26.12.1 lossen het op.
Waarom dit verder reikt dan het lijkt
Node.js draait onder veel webapplicaties, API's, klantportalen en interne hulpmiddelen, en ook onder veel ontwikkel- en AI-gereedschap. Je hoeft zelf nergens Brotli te gebruiken om geraakt te worden. Brotli is een gangbare manier om webverkeer kleiner te maken, en de ingebouwde fetch-functie van Node.js pakt zulke antwoorden vanzelf uit. Haalt jouw toepassing iets op van een adres dat een ander in handen heeft, dan kan dat al genoeg zijn.
Daar komt bij dat Node.js op een server vaak niet vanzelf wordt bijgewerkt. Wie het ooit uit een eigen pakketbron of een installatiescript heeft gehaald, blijft op die versie staan tot iemand het bewust bijwerkt. De automatische beveiligingsupdates van het besturingssysteem nemen het meestal niet mee.
Wat je nu regelt
- Zoek uit wat bij jou op Node.js draait: je website of webapp, een klantportaal, koppelingen tussen systemen en de servers waarop ontwikkelaars of AI-agents werken. Weet je het niet zeker, vraag het dan aan je webbouwer of IT-partij.
- Werk bij naar 22.23.4, 24.22.1 of 26.12.1, afhankelijk van de versie die je gebruikt. Draai je een versie die niet meer wordt ondersteund, dan komt er geen reparatie: stap dan over op een ondersteunde versie.
- Controleer daarna welke versie echt draait. Een bijgewerkt pakket doet niets zolang het oude proces nog loopt; pas na een herstart draait de nieuwe versie.
- Kijk of er sinds begin oktober Node.js-processen onverwacht zijn gecrasht. Een mislukte aanval laat vaak een crash achter. Vind je die, schakel dan iemand in die er verstand van heeft.
- Leg vast wat je hebt gedaan en wanneer. Valt je organisatie onder NIS2, of vraagt een klant om bewijs van je beveiliging, dan heb je dat meteen bij de hand.
En Stilops zelf
Stilops draait op Node.js, en onze agents halen voor hun werk webpagina's op. We waren dus geraakt. Op de dag dat we het lek zagen, hebben we gezorgd dat elke uitrol Node.js eerst naar de gepatchte versie brengt, en dat de machines waarop agents werken opnieuw worden opgebouwd met die versie. Ook onze testomgeving haalt voortaan altijd de nieuwste versie.
Daarna hebben we gekeken of er sporen van misbruik waren. We vonden geen onverwachte crashes van Stilops sinds 8 oktober, zo ver als onze logboeken teruggaan, en geen achtergebleven crashbestanden. Geen sporen is geen bewijs dat er niets is gebeurd, maar het is wat je kunt meten. We blijven het volgen.