Node.js retter 16 sårbarheder

Eskil Sørensen
13.11.2026 12:46
HTTP/2-fejl kan crashe servere og lække data

Node.js-projektet har udsendt sikkerhedsopdateringer til versionerne 22.x, 24.x og 26.x efter at have rettet 16 sårbarheder. Syv af fejlene er klassificeret som alvorlige. Blandt dem er fejl, der kan få HTTP/2-servere til at gå ned, og en HTTPS-fejl, der kan eksponere data fra andre forbindelser – herunder TLS-private nøgler. 

Det skriver The Hacker News.

De rettede versioner er 22.23.5, 24.22.3 og 26.13.1. Organisationer bør opdatere til den relevante version og genstarte Node.js-processer, så rettelsen bliver taget i brug. Node.js-projektets sikkerhedsmeddelelse angiver ingen workaround for systemer, der ikke kan opdateres. 

HTTP/2-fejl kan afbryde serverprocessen

Sårbarheden CVE-2026-123863 gør det muligt for en uautentificeret klient at få en HTTP/2-server til at crashe. Det kræver en standardserver, der sender et svar, før hele request-bodyen er modtaget – en serveradfærd, som Node.js-projektet beskriver som typisk. Fejlen kan udnyttes over både krypterede og ukrypterede HTTP/2-forbindelser. Den påvirker 24.x- og 26.x-linjerne. 

En anden HTTP/2-fejl, CVE-2026-123866, kan få serveren til at sende dele af sin hukommelse til en klient. Det kan blandt andet omfatte data fra andre forbindelser. Fejlen rammer alle tre understøttede linjer. På nyere builds af 24.x og 26.x kan en klient udløse den direkte; på ældre builds afhænger udnyttelsen af, at serveren lukker en stream, mens et svar stadig er under afsendelse.  

HTTPS-fejl kan eksponere hukommelse fra andre forbindelser

Den alvorlige HTTPS-sårbarhed CVE-2026-123864 kan give en uautentificeret klient adgang til hukommelsesindhold fra andre forbindelser. Node.js-projektet nævner blandt andet TLS-private nøgler og andre brugeres forespørgsler som potentielt eksponerede data. Fejlen gælder version 22.x, 24.x og 26.x.  

Udnyttelse kræver en bestemt kombination i applikationen: En handler skal kalde res.flushHeaders() før hele request-bodyen er modtaget og senere afslutte svaret med data. For at få lækkede data tilbage kræves desuden en rute, der sender eller gemmer request-bodyen. Almindelige HTTP-servere baseret på node:http er ikke berørt af denne fejl. 

Flere alvorlige fejl i HTTP/2 og TLS

Blandt de øvrige alvorlige sårbarheder er en HTTP/2-fejl, CVE-2026-123865, som kan få serveren til permanent at holde fast i hukommelse og filbeskrivelser. CVE-2026-123874 kan føre til korruption af serverhukommelse på 24.x og 26.x, når serveren sender filer med stream.respondWithFile() eller stream.respondWithFD().

Node.js har også rettet en TLS-fejl, CVE-2026-126051, der kan crashe servere på 24.x og 26.x, hvis bestemte TLS-hooks eller server.addContext() bruges. En anden fejl, CVE-2026-123872, kan under TLS 1.2-renegotiation lade en klient omgå strengere klientcertifikatkrav for et hostname. Den påvirker alle tre understøttede linjer.  

Anbefaling: Opdatér og gennemgå eksponering

De otte nævnte fejl ligger i Node.js’ egen HTTP/2-, HTTPS- og TLS-serverkode. De er derfor relevante for miljøer, hvor Node.js-processen selv håndterer de pågældende forbindelser. Node.js-versioner, der ikke længere understøttes – herunder 20.x og 25.x – får ikke rettelser i denne udgivelse. 

CERT.dk anbefaler, at organisationer:

  • opdaterer til 22.23.5, 24.22.3 eller 26.13.1, afhængigt af den anvendte release-linje;
  • genstarter berørte processer og genopbygger eventuelle container-images;
  • identificerer tjenester, hvor Node.js håndterer HTTP/2, HTTPS eller TLS direkte;
  • undersøger, om HTTPS-servere bruger den specifikke handler-kombination, der kræves for CVE-2026-123864.

Node.js-projektets meddelelse rapporterer ikke om kendte angreb, der udnytter sårbarhederne. Den angiver heller ikke, om TLS-nøgler eller andre hemmeligheder bør udskiftes efter opdatering, hvis en server har været sårbar over for hukommelseslækagen.  

Læs mere

Sårbarhed