Node2Shell: Brotli-Decoder-Fehler in Node.js ermöglicht Remote Code Execution (CVE-2026-111497)

Cover Image for Node2Shell: Brotli-Decoder-Fehler in Node.js ermöglicht Remote Code Execution (CVE-2026-111497)

Was ist Node2Shell?

Node2Shell ist der Name, den Impervas Red Team seiner Forschung und dem Proof of Concept für CVE-2026-111497 gegeben hat – einer Schwachstelle im Brotli-Decoder, der mit Node.js ausgeliefert wird. Das Node.js-Projekt veröffentlichte den Hinweis am 21. Oktober 2026 im Rahmen der Oktober-Sicherheitsveröffentlichungen und stufte ihn als High ein. Fixes stehen für die Release-Lines 22.x, 24.x und 26.x bereit.

Der Fehler erlaubt es, durch speziell präparierte Brotli-komprimierte Daten einen Out-of-bounds-Write im Decoder auszulösen. Das kann Prozessspeicher korrumpieren, den Prozess zum Absturz bringen, Speicherinhalte preisgeben oder – unter den richtigen Bedingungen – einem Angreifer erlauben, Code im verwundbaren Node.js-Prozess auszuführen.

Imperva veröffentlichte am 22. Oktober eine unabhängige technische Analyse. Die Forscher demonstrierten Code Execution auf dem offiziellen Node.js 24.22.0 Linux ARM64 Image ohne Debugger oder instrumentierte Runtime. Die gleichen Inputs wurden vom gepatchten Node.js 24.22.1 zurückgewiesen.

Damit geht das Problem über ein theoretisches Memory-Safety-Problem hinaus. Impervas veröffentlichte Ergebnisse decken jedoch spezifische Konfigurationen ab und belegen nicht, dass jede verwundbare Deployment mit der gleichen Zuverlässigkeit ausnutzbar ist.

Empfehlung: Node.js auf einen gefixten Release aktualisieren, betroffene Deployments neu bauen und Prozesse, die die verwundbare Runtime ausführen, neu starten.

Quellen:

Was ist Brotli und warum betrifft das Node.js?

Brotli ist ein Kompressionsformat, das weit verbreitet ist, um HTTP-Payloads zu verkleinern – HTML, JavaScript, JSON, API-Antworten und mehr. Webserver und Clients handeln es transparent aus.

Node.js bringt native Kompression und Dekompression über die node:zlib APIs mit. Die Runtime enthält eine Kopie von Googles Brotli-Decoder. Anwendungen können den verwundbaren Code treffen, ohne ein separates Brotli-Paket zu installieren.

Der entscheidende Punkt: Die Schwachstelle liegt unterhalb des Anwendungscodes, im nativen Decoder. Eine Anwendung mag eine High-Level-API oder Middleware nutzen, während der verwundbare Vorgang innerhalb der Node.js-Runtime abläuft.

Eine Application ist exponiert, wenn sie tatsächlich Brotli-Daten dekodiert, die ein Angreifer kontrolliert. Allein das Betreiben eines Node.js-Servers macht nicht jeden eingehenden Request verwundbar.

Zwei gängige Wege in den Decoder:

  1. Eingehende Request-Bodys: Eine Anwendung akzeptiert einen Brotli-komprimierten HTTP-Request-Body und dekomprimiert ihn.
  2. Von der Anwendung abgerufene Responses: Eine Anwendung ruft fetch() auf, um Inhalte von einem anderen Server zu holen, und Node.js dekomprimiert automatisch eine Brotli-kodierte Response.

Der zweite Fall verdient Aufmerksamkeit, weil der Remote-Server, der die Response liefert, außerhalb der Kontrolle der Anwendung liegen kann. URL-Previews, Webhook-Verarbeitung, Remote-Content-Imports und Dienste, die benutzerbereitgestellte URLs abrufen, können diese Exposition erzeugen.

Ein simpler Node.js-HTTP-Server dekomprimiert eingehende Brotli-Request-Bodys nicht automatisch, nur weil sie über HTTP ankommen. Die Anwendung oder eine Library muss einen Decoding-Pfad aufrufen.

Quelle: https://www.imperva.com/blog/node2shell-from-brotli-data-to-remote-code-execution/

Technische Ursache

Das Problem liegt in der Behandlung einer ungültigen Block-Switch-Operation durch den Brotli-Decoder.

Brotli-Streams enthalten Block-Metadaten, die dem Decoder mitteilen, welche Block-Typen verfügbar sind. Während der Dekompression verarbeitet der Decoder diese Blöcke und wechselt bei Bedarf zwischen ihnen.

Eine Block-Kategorie, die nur einen verfügbaren Typ deklariert, kann nicht gültig zu einem anderen Typ wechseln. Der verwundbare Decoder behandelte diese ungültige Bedingung nicht korrekt.

Die Decoder-Funktion DecodeBlockTypeAndLength() nutzte das gleiche false-Resultat für zwei unterschiedliche Situationen:

  • Der komprimierte Input war unvollständig und der Decoder benötigte ehrlich mehr Daten.
  • Der Stream forderte einen Block-Switch an, der gemäß den eigenen Metadaten des Streams ungültig war.

Diese Bedingungen hätten nicht als äquivalent behandelt werden dürfen.

Auf dem betroffenen Decoding-Pfad konnte ein ungültiger Block-Switch als Anfrage nach mehr Input interpretiert werden, statt als permanenter Formatfehler. Die Dekodierung setzte dann in einem Zustand fort, der nie hätte erreicht werden dürfen. Node.js' Advisory beschreibt, wie der Streaming-Decoder weiterhin Input-Bytes an einen acht Byte großen internen Puffer anhängen konnte, was einen Out-of-bounds-Write verursachte.

Das Resultat ist Speicherkorruption im Prozess, der den Decoder ausführt. Abhängig von den Umständen kann das zu einem Prozessabsturz, Offenlegung von Prozessspeicher oder Code Execution führen.

Die Upstream-Korrektur lässt den ungültigen Block-Switch einen dedizierten Formatfehler produzieren und propagiert diesen Fehler, sodass der Decoder stoppt, statt mit ungültigem Zustand fortzufahren.

Der Upstream-Brotli-Fix ist hier verfügbar: https://github.com/google/brotli/commit/0ed4268a4401abcb44720963

Node.js integrierte den Fix in seine Security Releases und stellte die zugehörige BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH Error-Konstante in seinen zlib-Bindings bereit.

Technische Erklärung: https://www.imperva.com/blog/node2shell-from-brotli-data-to-remote-code-execution/

Was kann ein Angreifer tun?

Die Sicherheitsauswirkungen können Folgendes umfassen:

Remote Code Execution (RCE): Unter geeigneten Bedingungen kann ein präparierter Brotli-Stream dazu führen, dass angreiferseitig gelieferter Code im verwundbaren Node.js-Prozess ausgeführt wird.

Memory Disclosure: Speicherkorruption kann im Prozess gehaltene Daten preisgeben. Je nach Anwendung und Exploit könnten das sensible Informationen im Speicher sein.

Denial of Service: Ein malformed Stream kann den Prozess abstürzen lassen oder den Service anderweitig stören.

RCE ist der schwerwiegendste Ausgang, da ein Angreifer Befehle ausführen oder Aktionen durchführen kann, die dem kompromittierten Prozess zur Verfügung stehen. Das bedeutet nicht automatisch Root-Zugriff oder vollständige Kontrolle über den Host. Die Auswirkungen hängen vom Betriebssystem, den Berechtigungen des Node.js-Prozesses, Container- oder Sandbox-Isolation und anderen Sicherheitskontrollen ab.

Die entscheidende Voraussetzung ist der Zugriff auf einen Decoding-Pfad, der angreifer-kontrollierte Brotli-Input verarbeitet. Ein öffentlich erreichbarer Node.js-Service, der solche Inputs dekodiert, ist ein unmittelbareres Anliegen als ein Service, der nur Daten von vertrauenswürdigen Quellen dekomprimiert.

Das praktische Risiko hängt auch davon ab, worauf der kompromittierte Prozess Zugriff hat: Umgebungsvariablen, Application Secrets, API Credentials, Dateisystempfade, interne Netzwerk-Services und Datenbanken.

Quelle: https://nodejs.org/en/blog/vulnerability/october-2026-security-releases

Welche Anwendungen und Konfigurationen könnten exponiert sein?

Das Problem liegt im Brotli-Decoder der Runtime, daher ist das Risiko nicht auf ein bestimmtes Framework beschränkt.

Eingehende HTTP-Request-Bodys

Einige Request-Parser unterstützen Brotli-komprimierte Request-Bodys. Übergibt ein solcher Parser angreifer-kontrollierten Content an den verwundbaren Decoder, kann ein entfernter Request den Bug triggern.

Imperva testete folgende Konfigurationen auf Node.js 24.22.0:

  • Express 5.0.0 bis 5.3.0 mit den getesteten Request-Parsing-Setups.
  • body-parser 2.0.0 bis 2.3.0, einschließlich der getesteten raw()- und json()-Parsing-Pfade.

Diese Versionsbereiche beschreiben die von Imperva getesteten Konfigurationen, nicht die Behauptung, dass jeder Release in jedem Bereich einzeln getestet wurde. Die verwundbare Komponente ist Node.js selbst; diese Libraries bieten Wege hinein.

Ausgehende HTTP-Responses

Node.js' eingebautes fetch() kann eine Brotli-kodierte HTTP-Response automatisch dekomprimieren. Ein Service, der Inhalte von einem unvertrauenswürdigen oder angreifer-kontrollierten Server abruft, kann die Schwachstelle treffen, selbst wenn er nie komprimierte Request-Bodys von eigenen Nutzern akzeptiert.

Dieser Pfad ist wichtig, weil das Filtern eingehender Request-Bodys an einem Reverse Proxy eine Anwendung nicht vor maliziösen Brotli-Responses schützt, die sie selbst von anderswo abruft.

Direkte Kompressions-APIs und andere Libraries

Anwendungscode kann auch die node:zlib Brotli-APIs direkt nutzen. Libraries, die auf diesen APIs aufbauen, können den gleichen verwundbaren Decoder erreichen.

Container und gebundene Runtimes

Ein Deployment kann weiterhin eine verwundbare Kopie von Node.js ausführen, selbst nachdem das Host-Betriebssystem oder der Paketmanager aktualisiert wurde. Häufige Orte zum Prüfen:

  • Docker- und andere Container-Images
  • Kubernetes Workloads
  • CI/CD Runner und Build Agents
  • Serverless Runtimes und Deployment-Plattformen
  • Anwendungen, die mit einer eingebetteten Node.js-Runtime oder als Single Executable Applications gepackt sind
  • Entwickler-Maschinen, Test-Umgebungen und Staging-Deployments

Eine Framework-Version allein bestimmt nicht, ob die Runtime gefixt ist. Prüfen Sie die tatsächlich in jeder Umgebung laufende Version.

Quellen:

Was Imperva demonstrierte

Imperva veröffentlichte seine Node2Shell-Forschung am 22. Oktober 2026.

Die Forscher testeten frische Container mit dem offiziellen Node.js 24.22.0 Linux ARM64 Image. Sie berichteten erfolgreiche Ausführung von Code, der durch präparierte Brotli-Daten übertragen wurde, ohne Debugger oder instrumentiertes Node.js-Binary.

Sie testeten zwei breite Pfade:

  • Eine komprimierte HTTP-Response, konsumiert durch Node.js' eingebautes fetch().
  • Eingehende Brotli-komprimierte Request-Bodys, verarbeitet durch die getesteten Express 5 und body-parser Konfigurationen.

In ihrer Demonstration erstellte die Testanwendung nach Empfang und Verarbeitung der präparierten Daten eine Marker-Datei, obwohl sie keinen Application-Level-Code dafür hatte. Die Forscher nutzten dies, um zu demonstrieren, dass Code, der durch die maliziösen Daten geliefert wurde, im Prozess ausgeführt hatte.

Die gleichen Inputs wurden von Node.js 24.22.1 zurückgewiesen, und der gefixte Testserver lief weiter.

Wichtige Limits dieser Findings:

  • Die bestätigte Konfiguration in Impervas veröffentlichter Demonstration war Node.js 24.22.0 auf Linux ARM64.
  • Der Exploit funktionierte nicht bei jedem Versuch.
  • Die veröffentlichten Tests decken nicht jeden Node.js-Build, jede Architektur, Framework-Version oder Deployment-Konfiguration ab.
  • Imperva hat nicht belegt, dass jede verwundbare Anwendung gleich ausnutzbar ist.

Diese Limits sollten nicht mit Beweisen verwechselt werden, dass die verbleibenden betroffenen Versionen sicher sind. Das offizielle Node.js Advisory listet alle drei unterstützten Release-Lines als betroffen, und Vercel berichtet von Forschung, die Memory Disclosure und Code Execution auf ungepatchten 22.x, 24.x und 26.x Versionen demonstriert.

Ein separater öffentlicher Proof-of-Concept-Bericht erschien ebenfalls während der initialen Offenlegungsperiode. Details und Zuverlässigkeit der verschiedenen Demonstrationen variieren. Der stärkste konkrete Beleg ist Impervas reproduzierbares Ergebnis gegen den offiziellen 24.22.0 Build und dessen Vergleich mit 24.22.1.

Quelle: https://www.imperva.com/blog/node2shell-from-brotli-data-to-remote-code-execution/

Offenlegungszeitlinie

DatumEreignis
21. Oktober 2026Node.js Security Releases für 22.x, 24.x und 26.x veröffentlicht, einschließlich Fix für CVE-2026-111497. Node.js creditiert OpenAI Codex Security Forscher Khai Tran und Sylvie Mayer mit dem Report. Matteo Collina und Antoine du Hamel werden für den Fix creditiert.
22. Oktober 2026Imperva veröffentlicht Node2Shell Write-up, demonstriert Code Execution gegen das offizielle verwundbare Node.js 24.22.0 Linux ARM64 Image. Tests bestätigen, dass die gleichen Daten von 24.22.1 zurückgewiesen werden.
22. Oktober 2026Bun released Version 1.4.4, die den relevanten Brotli-Fix unter den Security Changes enthält.
23. Oktober 2026Weitere Security Warnings. NHS England Digital veröffentlicht Alert, der zukünftige Exploitation als wahrscheinlich einstuft, jetzt da öffentlicher PoC-Research verfügbar ist.

Primäre und verwandte Quellen:

Betroffene Node.js Versionen

Node.js hat die 22.x, 24.x und 26.x Release-Lines als betroffen identifiziert. Die entsprechenden gefixten Versionen sind:

Release LineGefixte Version
Node.js 22.x22.23.4
Node.js 24.x24.22.1
Node.js 26.x26.12.1

Aktualisieren Sie auf den zutreffenden gefixten Release oder einen neueren gepatchten Release in der gleichen Branch. Gehen Sie nicht davon aus, dass das Aktualisieren von Application Dependencies allein das Problem löst.

Dies sind die veröffentlichten Fix-Versionen in den Node.js Security Releases vom 21. Oktober 2026.

Offizielle Release Notes:

End-of-Life Node.js Versionen

Das Node.js Advisory stellt fest, dass End-of-Life Release-Lines als betroffen betrachtet werden sollten, wenn ein Security Release veröffentlicht wird. EOL Branches erhalten nicht zwingend Fixes.

Node.js 20 erreichte End of Life am 30. April 2026. Die älteren 21.x, 23.x und 25.x Branches sind ebenfalls EOL. Der empfohlene Ansatz ist die Migration zu einer unterstützten Line statt auf einer alten Runtime zu verbleiben.

Für Betriebssystem-Pakete prüfen Sie das jeweilige Distribution-eigene Security Advisory. Distribution Maintainer können Backports liefern oder bestimmte gepackte Builds anders klassifizieren als die Upstream Node.js Releases. Leiten Sie den Zustand eines Distribution-Pakets nicht allein aus seiner Versionsnummer ab.

Brotli Versionen außerhalb von Node.js

CVE-2026-111497 wird auch als Schwachstelle in Googles Brotli-Decoder getrackt. Security Advisories beschreiben betroffene Upstream Brotli Releases als Versionen 1.0.3 bis 1.2.0, mit Fixes in den entsprechenden Maintained Branches:

  • Brotli 1.0.x: Update auf 1.0.10 oder später in diesem Branch.
  • Brotli 1.1.x: Update auf 1.1.1 oder später in diesem Branch.
  • Brotli 1.2.x: Update auf 1.2.1 oder später in diesem Branch.

Prüfen Sie Version und Patch-Status beim Maintainer der Software, die Brotli bündelt. Eine standalone Brotli Installation kann einen anderen Update-Pfad haben als Node.js' gebundene Kopie.

Bun ist ebenfalls relevant. Das eigene Tracking Issue identifizierte den fehlenden Upstream-Fix in Buns Brotli-Decoder, und Bun released Version 1.4.4 am 22. Oktober 2026. Bun-Nutzer sollten auf 1.4.4 oder neuer aktualisieren und die Release Notes für ihr Deployment prüfen.

Quellen:

Schweregrad und Scoring-Unterschiede

Das Node.js-Projekt klassifiziert CVE-2026-111497 in seinem Security Advisory als High Severity.

Einige Drittanbieter-Vulnerability-Datenbanken vergeben strengere numerische Ratings. Zum Zeitpunkt dieser Forschung listet Tenable einen CVSS 3.1 Score von 9.8 und einen CVSS 4.0 Score von 9.2, während das Amazon Linux Advisory einen CVSS 3.1 Score von 8.1 mit einer anderen Attack-Complexity-Bewertung listet.

Das sind Scores von verschiedenen Providern und Scoring-Kontexten. Sie sollten nicht so dargestellt werden, als hätte Node.js all diese Ratings selbst vergeben.

Für diesen Artikel: Node.js stuft das Issue als High ein, während einige Drittanbieter-Datenbanken höhere CVSS Scores vergeben. Falls ein numerischer Score genannt wird, benennen Sie die Scoring-Quelle und Version, statt eine bloße Zahl als universell autoritativ darzustellen.

Quellen:

Wurde die Schwachstelle in der Wildnis ausgenutzt?

Es gibt klare öffentliche Evidenz für Labor-Exploitation: Imperva demonstrierte Code Execution auf einem Standard verwundbaren Node.js Build.

In den für diesen Artikel geprüften Quellen fand ich keinen bestätigten Bericht über Exploitation gegen reale Opfer per 23. Oktober 2026. Das ist kein Beweis, dass niemand sie ausgenutzt hat. Security Teams sollten bestätigte Incidents von Labor-Demonstrationen und Prognosen über zukünftige Angriffe unterscheiden.

Öffentliche Proof-of-Concept-Reports und der demonstrierte Exploit machen zukünftige Exploitation zu einem glaubwürdigen Anliegen. NHS England Digitals Alert vom 23. Oktober stuft zukünftige Exploitation spezifisch als wahrscheinlich ein.

Eine sinnvolle Formulierung:

Öffentliche Forschung hat Code Execution gegen einen verwundbaren Node.js Build demonstriert, und Security Agencies warnen, dass Exploitation wahrscheinlich ist. Ich fand keinen bestätigten öffentlichen Report über In-the-wild Exploitation per 23. Oktober 2026, aber das Fehlen eines gemeldeten Incidents ist kein Beweis dafür, dass ein ungepatchter Service sicher ist.

Quelle: https://digital.nhs.uk/cyber-alerts/2026/cc-4881

Wie man betroffene Systeme schützt

Erste Priorität: Node.js Upgraden

Nutzen Sie den gefixten Release für den relevanten Branch:

  • 22.23.4 oder neuer in der 22.x Line.
  • 24.22.1 oder neuer in der 24.x Line.
  • 26.12.1 oder neuer in der 26.x Line.

Starten Sie laufende Prozesse nach dem Update neu. Ein laufender Prozess nutzt weiterhin seine geladene Runtime, bis er neu gestartet wird.

Runtime in Production prüfen

Verlassen Sie sich nicht nur auf eine lokale Developer-Version oder ein Package Manifest. Prüfen Sie die tatsächlich von jedem deployed Service, Container, Job und Serverless Function verwendete Runtime.

Für einen Basis-Version-Check führen Sie aus:

node -p process.version

Führen Sie dies im gleichen Container oder Environment aus, das die Application ausführt. Prüfen Sie auch Base Images, Deployment-Konfigurationen und Build Pipelines auf Versionen, die auf verwundbare Releases gepinnt sind.

Ein Image, das explizit auf node:24.22.0 gepinnt ist, basiert weiterhin auf diesem verwundbaren Release, bis die Image-Referenz geändert und die Application mit einer gefixten Version neu gebaut und redeployed wird.

Exponierte Brotli-Decoding-Pfade prüfen

Priorisieren Sie Services, die:

  • Brotli-kodierte Request-Bodys von unvertrauenswürdigen Clients akzeptieren.
  • Express 5 oder body-parser 2.x zum Dekodieren von Request-Bodys nutzen.
  • Responses von benutzerbereitgestellten oder anderweitig unvertrauenswürdigen URLs abrufen.
  • Externe Webhooks, Remote-Previews oder importierte Inhalte verarbeiten.
  • Unvertraute Bytes an die node:zlib Brotli APIs übergeben.

Diese Checks helfen, Exposition zu bestimmen und Remediation-Prioritäten zu setzen. Sie ersetzen nicht das Runtime-Update.

Temporäre Mitigation, wenn ein Update nicht sofort möglich ist

Wo angemessen, kann ein Reverse Proxy, WAF oder Application Gateway temporär Brotli-komprimierte eingehende Request-Bodys an betroffenen Endpunkten zurückweisen. Das kann die Exposition über den inbound Request-Pfad reduzieren, adressiert aber nicht maliziöse Brotli-Responses, die die Anwendung durch ihre eigenen fetch()-Calls dekomprimiert.

Imperva und Vercel haben beide Protections gegen bekannte Exploit-Pattern angekündigt. Solche Rules können eine Defense-Layer bieten, aber ihre Coverage ist auf den Traffic und die Patterns beschränkt, die sie inspizieren. Sie sind kein Ersatz für eine gefixte Runtime.

Das Node.js Advisory bietet keinen allgemeinen Built-in-Workaround. Patching bleibt die Haupt-Remediation.

Quellen:

Detection und Investigation

Es gibt keinen einzelnen Log-Eintrag, der Exploitation zuverlässig beweist.

Unerwartete Node.js Prozess-Abstürze während der Dekompression, Decoder-Errors und ungewöhnlicher Traffic mit malformed Brotli-Streams können weitere Investigation rechtfertigen. Für sich allein belegen diese Anzeichen nicht, dass ein Angreifer Code ausgeführt hat.

Teams, die einen potenziell betroffenen Service untersuchen, sollten Runtime-Version, Quelle des komprimierten Inputs, HTTP Request und Response Logs, Application Errors, Prozess-Neustarts und unerwartete Filesystem- oder Prozess-Aktivität korrelieren.

Der Fix führt einen dedizierten Brotli-Decoder-Error für die ungültige Block-Switch-Bedingung ein. Dieser Error kann nützlich sein beim Review von Decoder-Logs aus einer gepatchten Runtime, obwohl sein Vorhandensein nur anzeigt, dass malformed Input den Decoder erreicht hat, nicht dass Exploitation gelang.

Die wichtigste unmittelbare Aufgabe ist, jede verwundbare Runtime zu identifizieren und zu patchen. Incident-Response-Schritte sollten folgen, wenn Logs oder Host-Level-Telemetrie Evidenz für Kompromittierung zeigen.

Wichtige Unterscheidungen und Caveats

Dieser Artikel bewahrt diese Unterscheidungen:

  1. Node2Shell versus CVE-2026-111497: Node2Shell ist Impervas Name für Research und Exploit; CVE-2026-111497 ist der Vulnerability Identifier.

  2. Potentielles RCE versus demonstriertes RCE: Die Auswirkungen der Schwachstelle umfassen mögliches Remote Code Execution. Imperva demonstrierte Execution auf Node.js 24.22.0 ARM64, aber die veröffentlichten Testergebnisse decken nicht jede mögliche Konfiguration ab.

  3. Node.js Exposition versus jeder Node.js Server: Ein Service muss den verwundbaren Decoder mit angreifer-kontrollierten Brotli-Daten erreichen. Nicht jeder HTTP-Request ruft automatisch Brotli-Dekompression auf.

  4. Patch versus WAF: WAF Rules können Exposition für inspizierten Traffic reduzieren, aber nicht jeden Decoding-Pfad abdecken, besonders Responses, die die Anwendung selbst abruft.

  5. Severity Rating versus numerischer CVSS Score: Node.js nennt das Issue High. Andere Datenbanken vergeben unterschiedliche numerische Scores. Ordnen Sie jedes Rating seiner Quelle zu.

  6. Kein bekannter öffentlicher Incident versus kein Risiko: Fehlende bestätigte öffentliche Incidents sind kein Beweis, dass Exploitation nicht stattgefunden hat.

  7. Upstream Releases versus Betriebssystem-Pakete: Distributionen können Security Fixes paketieren oder backporten. Prüfen Sie das Advisory des Package Maintainers und die tatsächliche Runtime, statt anzunehmen, dass jedes gepackte Package direkt auf einen Upstream-Release mapt.

Referenzen

Research spiegelt den Stand vom 23. Oktober 2026 wider.

Nächste Artikel.

Cover Image for PHP2Shell: KI deckt kritische RCE-Schwachstellen in der PHP-Engine auf

PHP2Shell: KI deckt kritische RCE-Schwachstellen in der PHP-Engine auf

Wiz Research veröffentlicht PHP2Shell — eine Reihe kritischer Schwachstellen im PHP-Kern, die unauthentifizierte Remote-Code-Ausführung und Speicherauslesen ermöglichen. Die Fehler betreffen PHP-Versionen bis zurück zu 5.4 und wurden mit erheblicher KI-Unterstützung entdeckt.