Het Nationaal Cyber Security Centrum (NCSC) waarschuwt beheerders en organisaties om een kwetsbaarheid in de Google Brotli-decoder in Node.js zo snel mogelijk te patchen. Via het beveiligingslek (CVE-2026-111497) is namelijk remote code execution mogelijk. Brotli is een compressie library van Google. Node.js, de software waarmee JavaScript op servers draait, wordt geleverd met een eigen versie. "Brotli verkleint de bestandsgrootte van webpagina's voordat een webserver ze naar een webbrowser stuurt", zo legt het NCSC uit.
CVE-2026-111497, ook wel Node2Shell genoemd, betreft een out-of-bounds write die remote code execution mogelijk maakt. Volgens cybersecuritybedrijf Aikido raakt de kwetsbaarheid iedereen die Node.js of Bun draait, waarvan de applicatie Brotli-data uitpakt die van een aanvaller afkomstig kan zijn. "Als deze kwetsbaarheid niet wordt aangepakt, kan een aanvaller het systeem laten vastlopen, gevoelige gegevens stelen of het systeem overnemen. Dit kan leiden tot verlies van gegevens en verstoring van de dienstverlening", aldus het NCSC, dat adviseert om de beschikbare update nu te installeren.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
