---
adresse: "https://qvestcon.com/dora-update-markus-junge/ikt-dienstleister_fab93a58/"
titel: "Kritische Node.js-Lücke wird aktiv ausgenutzt"
beschreibung: "Das BSI warnt über CERT-Bund (WID-SEC-2026-4117) vor mehreren Schwachstellen in Node.js, einer Plattform zur…"
sprache: "de-DE"
stand: "2026-11-02"
---

Qvestcon News

# Kritische Node.js-Lücke wird aktiv ausgenutzt

Das BSI warnt über CERT-Bund (WID-SEC-2026-4117) vor mehreren Schwach­stel­len in Node.js, einer Plattform zur Entwicklung von Netz­werk­an­wen­dun­gen. Das Risiko ist als kritisch eingestuft. Die US-Behörde CISA bestätigt, dass die Schwachstelle CVE-2026-111497 aktiv ausgenutzt wird, Beispielcode dafür ist im Internet verfügbar. Ein Angreifer kann einen Denial-of-Service-Angriff durchführen, Sicher­heits­vor­keh­run­gen umgehen und beliebigen Programmcode ausführen. Behoben sind die Lücken in den Versionen 26.12.1, 24.22.1 und 22.23.4, die Erst­ver­öf­fent­li­chung war am 21. Oktober 2026. Betroffen sind laut Warnung auch Produkte wie IBM App Connect Enterprise, VMware Cloud Foundation und Splunk. Praktisch gilt: zuerst klären, wo Node.js im Haus läuft, auch gebündelt in Fremd­pro­duk­ten; dann die Ver­si­ons­stände gegen die genannten Fixstände abgleichen und Patches oder Her­stel­ler­up­dates einplanen; zuletzt die Umsetzung im Schwach­stel­len­ma­nage­ment dokumentieren. Für IKT-Ver­ant­wort­li­che in Banken und Versicherern ist das ein Fall für das Patch-Management mit Frist. #Banken #Versicherer #Finanz­dienst­leis­ter #Prü­fungs­pla­nung #Qvestcon #MarkusJunge

[Cyber](https://qvestcon.com/news/cyber/)21.10.2026

Das BSI warnt über CERT-Bund (WID-SEC-2026-4117) vor mehreren Schwach­stel­len in Node.js, einer Plattform zur Entwicklung von Netz­werk­an­wen­dun­gen. Das Risiko ist als kritisch eingestuft. Die US-Behörde CISA bestätigt, dass die Schwachstelle CVE-2026-111497 aktiv ausgenutzt wird, Beispielcode dafür ist im Internet verfügbar. Ein Angreifer kann einen Denial-of-Service-Angriff durchführen, Sicher­heits­vor­keh­run­gen umgehen und beliebigen Programmcode ausführen. Behoben sind die Lücken in den Versionen 26.12.1, 24.22.1 und 22.23.4, die Erst­ver­öf­fent­li­chung war am 21. Oktober 2026. Betroffen sind laut Warnung auch Produkte wie IBM App Connect Enterprise, VMware Cloud Foundation und Splunk. Praktisch gilt: zuerst klären, wo Node.js im Haus läuft, auch gebündelt in Fremd­pro­duk­ten; dann die Ver­si­ons­stände gegen die genannten Fixstände abgleichen und Patches oder Her­stel­ler­up­dates einplanen; zuletzt die Umsetzung im Schwach­stel­len­ma­nage­ment dokumentieren. Für IKT-Ver­ant­wort­li­che in Banken und Versicherern ist das ein Fall für das Patch-Management mit Frist. #Banken #Versicherer #Finanz­dienst­leis­ter #Prü­fungs­pla­nung #Qvestcon #MarkusJunge

- [#Banken](https://qvestcon.com/stichwoerter/b/#banken)
- [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer)
- [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister)
- [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/p-r/#pruefungsplanung)
- [#Qvestcon](https://qvestcon.com/stichwoerter/p-r/#qvestcon)
- [#MarkusJunge](https://qvestcon.com/stichwoerter/m-o/#markusjunge)

[Ori­gi­nal­quelle: BSI CERT-Bund →](https://wid.cert-bund.de/content/public/content/batch/45645e6e-8ea1-4252-bedd-cc855e6d6c43)

Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall.

[Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20Kritische%20Node.js-L%C3%BCcke%20wird%20aktiv%20ausgenutzt#erstgespraech)

[Weitere Meldungen in Cyber](https://qvestcon.com/news/cyber/) · [alle Qvestcon-News](https://qvestcon.com/news/)