[{"data":1,"prerenderedAt":1482},["ShallowReactive",2],{"post-de-nis2-lieferkette-lieferanten-laufend-uberwachen":3,"related-de-nis2-lieferkette-lieferanten-laufend-uberwachen":438},{"id":4,"title":5,"author":6,"body":7,"category":404,"date":405,"description":406,"draft":407,"extension":408,"faq":409,"image":419,"imageAlt":420,"lang":421,"legacyUrl":422,"meta":423,"navigation":424,"path":425,"readingTime":426,"seo":427,"sitemap":428,"stem":433,"tags":434,"translation":436,"updated":422,"__hash__":437},"insightsDe\u002Fde\u002Finsights\u002Fnis2-lieferkette-lieferanten-laufend-uberwachen.md","Lieferkette nach NIS2: Was zwischen zwei Fragebögen passiert","blacklens.io Team",{"type":8,"value":9,"toc":388},"minimark",[10,14,19,28,75,78,82,90,121,130,134,142,210,213,217,220,259,263,266,286,289,293,301,306,313,320,324,327,335,341,345,352,358,369,373,380],[11,12,13],"p",{},"Ein Lieferanten-Fragebogen hält fest, wie sicher ein Lieferant an dem Tag war, an dem er ihn ausgefüllt hat. Über die Sicherheit Ihrer Lieferkette entscheiden die übrigen 364 Tage: der IT-Dienstleister, der sein VPN-Gateway nicht aktualisiert, die Steuerkanzlei ohne Schutz gegen gefälschte Absender, der Logistikpartner, der auf einer Ransomware-Leak-Site steht. NIS2 verlangt, genau diese Schwachstellen jedes direkten Lieferanten zu berücksichtigen. Dafür müssen Sie sie kennen, bevor der nächste Fragebogen fällig ist.",[15,16,18],"h2",{"id":17},"was-nis2-für-die-lieferkette-verlangt","Was NIS2 für die Lieferkette verlangt",[11,20,21,22,27],{},"Die ",[23,24,26],"a",{"href":25},"\u002Fde\u002Fwissen\u002Fnis2","NIS2-Richtlinie"," macht die Sicherheit der Lieferkette zur Pflichtmaßnahme des Risikomanagements. Artikel 21 Absatz 2 Buchstabe d nennt sie ausdrücklich, Absatz 3 verlangt, dabei die spezifischen Schwachstellen jedes unmittelbaren Anbieters und die Qualität seiner Cybersicherheitspraxis zu berücksichtigen. National und für einzelne Branchen gilt:",[29,30,31,46,57,69],"ul",{},[32,33,34,38,39,45],"li",{},[35,36,37],"strong",{},"Österreich:"," ",[23,40,44],{"href":41,"rel":42},"https:\u002F\u002Fwww.ris.bka.gv.at\u002FDokumente\u002FBundesnormen\u002FNOR40273893\u002FNOR40273893.html",[43],"nofollow","§ 32 Absatz 4 Buchstabe d NISG 2026",", in Kraft seit 1. Oktober 2026, übernimmt den Wortlaut der Richtlinie samt der Pflicht, die Schwachstellen der einzelnen Anbieter zu berücksichtigen.",[32,47,48,38,51,56],{},[35,49,50],{},"Deutschland:",[23,52,55],{"href":53,"rel":54},"https:\u002F\u002Fwww.gesetze-im-internet.de\u002Fbsig_2025\u002F__30.html",[43],"§ 30 Absatz 2 Nummer 4 BSI-Gesetz"," nennt die Sicherheit der Lieferkette, in Kraft seit 6. Dezember 2025.",[32,58,59,62,63,68],{},[35,60,61],{},"Digitale Anbieter"," wie Cloud-, Rechenzentrums- und Managed-Service-Provider: Nach Nummer 5.1.6 im Anhang der ",[23,64,67],{"href":65,"rel":66},"https:\u002F\u002Feur-lex.europa.eu\u002Feli\u002Freg_impl\u002F2024\u002F2690\u002Foj\u002Fdeu",[43],"Durchführungsverordnung (EU) 2024\u002F2690"," überwachen und bewerten sie Änderungen der Cybersicherheitsverfahren ihrer Anbieter, etwa nach erheblichen Sicherheitsvorfällen, und werden erforderlichenfalls tätig.",[32,70,71,74],{},[35,72,73],{},"Finanzsektor:"," DORA regelt das ICT-Drittparteienrisiko in den Artikeln 28 bis 30.",[11,76,77],{},"ISO 27001 wird in Control A.5.22 konkreter: Die Sicherheitspraxis von Lieferanten ist regelmäßig zu überwachen, zu überprüfen und zu bewerten. Werkzeug oder Prüfintervall schreibt keine dieser Regelungen vor. Alle setzen aber voraus, dass Sie Veränderungen bei einem Lieferanten bemerken, wenn sie passieren.",[15,79,81],{"id":80},"warum-der-fragebogen-allein-nicht-reicht","Warum der Fragebogen allein nicht reicht",[11,83,84,85,89],{},"Ein Fragebogen ist eine datierte Selbstauskunft: Er hält fest, was ein Lieferant über sich angibt, und zwar einmal. Im ",[23,86,88],{"href":87},"\u002Fde\u002Fwissen\u002Fthird-party-risk-management","Third-Party Risk Management"," bleibt er trotzdem nötig, denn Prozesse, Backups und Schulungen sieht von außen niemand. Für die Systeme, die ein Lieferant ins Internet stellt, hat er drei Lücken:",[29,91,92,109,115],{},[32,93,94,97,98,102,103,108],{},[35,95,96],{},"Er veraltet."," Die US-Cybersicherheitsbehörde CISA hat 2026 bis Anfang November 283 Schwachstellen neu in ihren ",[23,99,101],{"href":100},"\u002Fde\u002Fwissen\u002Fcisa-kev","Katalog aktiv ausgenutzter Schwachstellen"," aufgenommen, mehr als sechs pro Woche (",[23,104,107],{"href":105,"rel":106},"https:\u002F\u002Fwww.cisa.gov\u002Fknown-exploited-vulnerabilities-catalog",[43],"Stand 3. November 2026","). Mehr als zwei Dutzend davon betreffen Firewalls, VPN- und Fernzugangs-Gateways, also die Systeme, über die Dienstleister auf Kundennetze zugreifen.",[32,110,111,114],{},[35,112,113],{},"Er misst nicht."," „Wir spielen Sicherheitsupdates zeitnah ein“ ist eine Antwort, kein Befund. Ob das VPN-Gateway des Dienstleisters eine verwundbare Version meldet, beantwortet kein Fragebogen.",[32,116,117,120],{},[35,118,119],{},"Er skaliert schlecht."," Bei einigen hundert Lieferanten ist schon eine Runde pro Jahr ein Projekt, für Sie wie für Lieferanten, die dieselben Fragen von vielen Kunden erhalten.",[11,122,123,124,129],{},"Wie groß das Risiko ist, zeigt der ",[23,125,128],{"href":126,"rel":127},"https:\u002F\u002Fwww.verizon.com\u002Fabout\u002Fnews\u002Fbreach-industry-wide-dbir-finds",[43],"Data Breach Investigations Report 2026"," von Verizon: Bei 48 Prozent der untersuchten Fälle mit bestätigtem Datenabfluss war ein Dritter beteiligt, im Vorjahresbericht bei 30 Prozent.",[15,131,133],{"id":132},"was-eine-außenbewertung-zeigt-und-was-nicht","Was eine Außenbewertung zeigt und was nicht",[11,135,136,137,141],{},"Eine Außenbewertung, auch ",[23,138,140],{"href":139},"\u002Fde\u002Fwissen\u002Fsecurity-rating","Security Rating"," genannt, misst, was die internetseitige Infrastruktur eines Lieferanten preisgibt, ohne Zugang zu seinen Systemen und ohne seine Mitwirkung. Sie beantwortet einen Teil der Fragebogen-Fragen mit einem Messwert statt mit einer Angabe:",[143,144,145,158],"table",{},[146,147,148],"thead",{},[149,150,151,155],"tr",{},[152,153,154],"th",{},"Frage im Fragebogen",[152,156,157],{},"Was von außen messbar ist",[159,160,161,170,178,186,194,202],"tbody",{},[149,162,163,167],{},[164,165,166],"td",{},"Spielen Sie Sicherheitsupdates zeitnah ein?",[164,168,169],{},"Veraltete Software und bekannte Schwachstellen auf erreichbaren Systemen",[149,171,172,175],{},[164,173,174],{},"Sind Fernzugänge abgesichert?",[164,176,177],{},"Offen erreichbare Fernwartungs-, VPN- und Admin-Zugänge",[149,179,180,183],{},[164,181,182],{},"Verschlüsseln Sie Datenübertragungen?",[164,184,185],{},"Zertifikate, TLS-Versionen und Cipher-Suites",[149,187,188,191],{},[164,189,190],{},"Ist Ihre E-Mail-Domain gegen Spoofing geschützt?",[164,192,193],{},"SPF-, DKIM- und DMARC-Einträge",[149,195,196,199],{},[164,197,198],{},"Gab es Sicherheitsvorfälle?",[164,200,201],{},"Geleakte Zugangsdaten, Einträge auf Ransomware-Leak-Sites",[149,203,204,207],{},[164,205,206],{},"Gibt es Backups, Notfallpläne und Schulungen?",[164,208,209],{},"Nicht messbar, bleibt Sache von Fragebogen und Audit",[11,211,212],{},"Die letzte Zeile ist die wichtigste Grenze. Eine gute Note heißt, dass ein Lieferant von außen keine offensichtlichen Schwächen zeigt, nicht, dass er sicher ist. Bewertet wird zudem nur, was sich seiner Domain zuordnen lässt. Die Außenbewertung ersetzt den Fragebogen deshalb nicht. Sie zeigt, bei welchem Lieferanten Sie nachfragen sollten, und wann.",[15,214,216],{"id":215},"so-bauen-sie-eine-laufende-lieferantenüberwachung-auf","So bauen Sie eine laufende Lieferantenüberwachung auf",[11,218,219],{},"Eine laufende Lieferantenüberwachung braucht kein Großprojekt, sondern sechs Entscheidungen, die Sie einmal treffen:",[221,222,223,229,235,241,247,253],"ol",{},[32,224,225,228],{},[35,226,227],{},"Die Liste aus dem Einkauf nehmen."," Die Kreditorenliste aus dem ERP ist vollständiger als jede Liste aus dem Gedächtnis; je Lieferant zählt seine Domain.",[32,230,231,234],{},[35,232,233],{},"Nach Kritikalität einstufen."," Hat der Lieferant Zugang zu Ihren Systemen? Verarbeitet er vertrauliche Daten? Steht ohne ihn der Betrieb? Wer zweimal mit Ja antwortet, ist kritisch.",[32,236,237,240],{},[35,238,239],{},"Den Ausgangswert festhalten."," Entscheidend ist die Veränderung, nicht der absolute Wert: Ein Lieferant, der von B auf D fällt, verdient mehr Aufmerksamkeit als einer, der seit einem Jahr stabil bei C liegt.",[32,242,243,246],{},[35,244,245],{},"Auslöser und Zuständigkeit festlegen."," Auslöser sind etwa eine neue aktiv ausgenutzte Schwachstelle, ein Eintrag auf einer Leak-Site oder die Note D oder F bei einem kritischen Lieferanten; zuständig ist die Informationssicherheit, der Einkauf oder die Fachabteilung.",[32,248,249,252],{},[35,250,251],{},"Wöchentlich sichten."," Ein fester Termin für die Veränderungen der Woche genügt, wenn akute Ereignisse ohnehin als Alarm eintreffen.",[32,254,255,258],{},[35,256,257],{},"Nachweise ablegen."," Ein monatlicher Bericht mit Datum, Notenverteilung und den Reaktionen auf Verschlechterungen gehört ins ISMS.",[15,260,262],{"id":261},"was-tun-wenn-ein-lieferant-schlechter-wird","Was tun, wenn ein Lieferant schlechter wird",[11,264,265],{},"Eine schlechtere Bewertung ist ein Anlass zum Nachfragen, kein Urteil über den Lieferanten. Wie dringend Sie reagieren, hängt vom Grund ab:",[29,267,268,274,280],{},[32,269,270,273],{},[35,271,272],{},"Aktiv ausgenutzte Schwachstelle:"," Schicken Sie dem Sicherheitsansprechpartner des Lieferanten den Fund mit System, CVE und Datum und vereinbaren Sie einen Termin für die Behebung. Schränken Sie bis dahin seine VPN-Konten oder API-Schlüssel bei Ihnen ein.",[32,275,276,279],{},[35,277,278],{},"Eintrag auf einer Ransomware-Leak-Site:"," Behandeln Sie das als möglichen Vorfall, der auch Sie betrifft. Klären Sie, welche Ihrer Daten beim Lieferanten liegen, tauschen Sie gemeinsam genutzte Zugangsdaten aus und prüfen Sie, ob Ihre eigenen Dienste erheblich beeinträchtigt sind; dann kann Ihre Meldepflicht nach Artikel 23 NIS2 greifen.",[32,281,282,285],{},[35,283,284],{},"Fehlender Schutz der E-Mail-Domain:"," Ohne durchgesetzte DMARC-Richtlinie lassen sich E-Mails im Namen des Lieferanten leichter fälschen, etwa Rechnungen mit geänderter Bankverbindung. Bis zum nächsten Lieferantengespräch sollte Ihre Buchhaltung Kontoänderungen über eine bekannte Telefonnummer bestätigen.",[11,287,288],{},"Halten Sie jede Reaktion fest: wer wann wen kontaktiert hat, was der Lieferant antwortete und was Sie entschieden haben. Diese Kette aus Fund, Kontakt und Entscheidung belegt, dass Sie die Schwachstellen Ihrer Lieferanten tatsächlich berücksichtigen.",[15,290,292],{"id":291},"wie-blacklensio-die-laufende-überwachung-übernimmt","Wie blacklens.io die laufende Überwachung übernimmt",[11,294,295,296,300],{},"In blacklens.io übernimmt das Modul ",[23,297,299],{"href":298},"\u002Fde\u002Fsolutions\u002Fsupply-chain-monitoring","Supply Chain Monitoring"," die Schritte, die Zeit kosten: messen, wiederholen, vergleichen. Ihr Lieferant muss dafür nichts installieren oder freigeben. Die Bilder zeigen den Demo-Workspace mit fiktiven Lieferanten.",[302,303,305],"h3",{"id":304},"lieferanten-importieren-und-einstufen","Lieferanten importieren und einstufen",[11,307,308,309,312],{},"Unter ",[35,310,311],{},"Supply Chain → Suppliers"," fügen Sie Lieferanten einzeln, als Liste oder als CSV-Datei aus dem Einkauf hinzu. URLs und E-Mail-Adressen werden auf die registrierbare Domain gekürzt, und eine Vorschau zeigt jeden Eintrag, bevor etwas hinzugefügt wird. Kritikalität (Low bis Critical) und Tags vergeben Sie gleich beim Import.",[11,314,315],{},[316,317],"img",{"alt":318,"src":319},"Dialog „Add suppliers“ in blacklens.io: URL, E-Mail-Adresse und Subdomain werden zur Domain, Duplikat und IP-Adresse aussortiert","\u002Fimages\u002Finsights\u002Fnis2-lieferkette-lieferanten-laufend-uberwachen-2.webp",[302,321,323],{"id":322},"bewertung-und-ausgangswert","Bewertung und Ausgangswert",[11,325,326],{},"Jeder Lieferant erhält eine Note von A bis F und einen Score von 0 bis 100 aus neun Bewertungsbereichen, von Software-Patching bis zur E-Mail- und DNS-Sicherheit. Die erste Bewertung startet automatisch und ist der Ausgangswert, danach folgt alle 7 Tage eine neue. Bereiche, die sich nicht messen lassen, zählen nicht als 0. Jedes Finding nennt Befund und Behebung („What was found“, „How to fix it“); per CSV-Export oder Supplier Report (PDF) geben Sie es an den Lieferanten weiter.",[11,328,329,330,334],{},"Im Demo-Workspace betreibt ein als Critical eingestufter Managed-Service-Provider, der den Microsoft-365-Tenant betreut, ein VPN-Gateway mit ",[331,332,333],"code",{},"CVE-2024-3400",", seit April 2024 im KEV-Katalog der CISA. Solange der Fund besteht, ist die Note bei D gedeckelt; ohne Deckelung läge er bei C.",[11,336,337],{},[316,338],{"alt":339,"src":340},"Demo-Lieferant in blacklens.io: Note bei D gedeckelt, darunter das Finding CVE-2024-3400 mit Befund und Behebungshinweis","\u002Fimages\u002Finsights\u002Fnis2-lieferkette-lieferanten-laufend-uberwachen-3.webp",[302,342,344],{"id":343},"alarm-und-wöchentliche-sichtung","Alarm und wöchentliche Sichtung",[11,346,347,348,351],{},"Fällt eine Bewertung schlechter aus als die letzte, meldet der Alert ",[35,349,350],{},"Supplier risk increased"," das per E-Mail, Push oder an Microsoft Teams, Slack, Jira oder ServiceNow. Auslöser sind eine schlechtere Note, eine neue aktiv ausgenutzte Schwachstelle, ein neues kritisches Finding oder ein Eintrag auf einer Ransomware-Leak-Site; bei Lieferanten mit der Kritikalität Critical steigt der Schweregrad auf High. Ein sinkender Score ohne Notenwechsel löst keinen Alert aus.",[11,353,354],{},[316,355],{"alt":356,"src":357},"Alert „Supplier risk increased“ mit Schweregrad High: Demo-Lieferant von B auf D, neue aktiv ausgenutzte Schwachstelle","\u002Fimages\u002Finsights\u002Fnis2-lieferkette-lieferanten-laufend-uberwachen-4.webp",[11,359,360,361,364,365,368],{},"Für die wöchentliche Sichtung zeigt die Lieferantenliste die Notenverteilung, die Veränderungen der letzten sieben Tage und Kennzahlen wie ",[35,362,363],{},"At risk"," (Note D oder F). Eigene Filter schreiben Sie in BQL, etwa ",[331,366,367],{},"criticality = critical and kev_findings > 0"," für kritische Lieferanten mit aktiv ausgenutzten Schwachstellen. Leak-Sites prüft zusätzlich die Ransomware-Watchlist, etwa alle 30 Minuten.",[302,370,372],{"id":371},"nachweise","Nachweise",[11,374,375,376,379],{},"Der ",[35,377,378],{},"Supply Chain Report"," fasst das Portfolio der letzten 30 Tage als PDF zusammen, mit Veränderungen, Risikoschwerpunkten und Handlungsbedarf, einmalig oder monatlich per Zeitplan an feste Empfänger. Mit Bewertungsverlauf und Alert-Historie liefert er Nachweise für NIS2 und DORA. Die Berichte erscheinen auf Englisch.",[11,381,382,383,387],{},"Fragebögen, Selbstauskünfte und ein Lieferantenportal bildet blacklens.io nicht ab. Fünf Lieferanten je Workspace sind in der Lizenz enthalten, auch der 14-tägige Test umfasst das ",[23,384,386],{"href":385},"\u002Fde\u002Fplatform\u002Fsupplier-risk-rating","Lieferanten-Rating",". Die Außensicht sorgt dafür, dass der nächste Fragebogen die richtigen Fragen stellt.",{"title":389,"searchDepth":390,"depth":390,"links":391},"",3,[392,394,395,396,397,398],{"id":17,"depth":393,"text":18},2,{"id":80,"depth":393,"text":81},{"id":132,"depth":393,"text":133},{"id":215,"depth":393,"text":216},{"id":261,"depth":393,"text":262},{"id":291,"depth":393,"text":292,"children":399},[400,401,402,403],{"id":304,"depth":390,"text":305},{"id":322,"depth":390,"text":323},{"id":343,"depth":390,"text":344},{"id":371,"depth":390,"text":372},"guide","2026-11-04","Lieferkettensicherheit nach NIS2: was NISG 2026 und BSIG verlangen, wo der Lieferanten-Fragebogen endet und wie Sie Lieferanten laufend von außen überwachen.",false,"md",[410,413,416],{"q":411,"a":412},"Wie oft müssen Lieferanten nach NIS2 geprüft werden?","NIS2 schreibt für die Prüfung von Lieferanten kein festes Intervall vor. Artikel 21 verlangt aber, die spezifischen Schwachstellen jedes unmittelbaren Anbieters zu berücksichtigen, und das setzt voraus, dass Sie deren aktuellen Stand kennen. Für digitale Anbieter wie Cloud- und Managed-Service-Provider verlangt die Durchführungsverordnung (EU) 2024\u002F2690 ausdrücklich, Änderungen der Cybersicherheitsverfahren von Lieferanten zu überwachen und zu bewerten. Praktikabel ist eine Kombination: Fragebogen oder Audit für kritische Lieferanten einmal im Jahr, dazu eine Außenbewertung, die jede Woche neu misst.",{"q":414,"a":415},"Was tun, wenn die Sicherheitsbewertung eines Lieferanten sinkt?","Sinkt die Sicherheitsbewertung eines Lieferanten, entscheidet der Grund über die Dringlichkeit. Eine aktiv ausgenutzte Schwachstelle oder ein Eintrag auf einer Ransomware-Leak-Site verlangt eine Reaktion innerhalb weniger Tage, eine fehlende DMARC-Richtlinie gehört ins nächste Lieferantengespräch. Schicken Sie dem Sicherheitsansprechpartner des Lieferanten den konkreten Fund mit System, Datum und Behebungshinweis, prüfen Sie parallel seine Zugänge zu Ihren Systemen und dokumentieren Sie Kontakt, Antwort und Entscheidung als Nachweis.",{"q":417,"a":418},"Wie überwacht blacklens.io die Sicherheit von Lieferanten?","Das Modul Supply Chain Monitoring in blacklens.io bewertet jeden Lieferanten von außen anhand seiner Domain, ohne dass der Lieferant etwas installieren oder freigeben muss. Jeder Lieferant erhält eine Note von A bis F und einen Score von 0 bis 100 aus neun Bewertungsbereichen und wird alle 7 Tage neu bewertet. Verschlechtert sich die Bewertung, meldet der Alert „Supplier risk increased“ das per E-Mail, Push oder Integration. Fragebögen und Selbstauskünfte bildet blacklens.io nicht ab.","\u002Fimages\u002Finsights\u002Fnis2-lieferkette-lieferanten-laufend-uberwachen.webp","Lieferantenliste in blacklens.io mit Notenverteilung von A bis F, Risiko-Kennzahlen und fiktiven Demo-Lieferanten","de",null,{},true,"\u002Fde\u002Finsights\u002Fnis2-lieferkette-lieferanten-laufend-uberwachen",7,{"title":5,"description":406},{"loc":425,"images":429},[430,431,432],{"loc":319},{"loc":340},{"loc":357},"de\u002Finsights\u002Fnis2-lieferkette-lieferanten-laufend-uberwachen",[435],"Leitfaden","nis2-lieferkette-lieferanten-laufend-uberwachen","26oXp8yFHcOJ-yCqpMdNDgsLOG_65JSaR3oMXAuR5VA",[439,859,1217],{"id":440,"title":441,"author":6,"body":442,"category":835,"date":836,"description":837,"draft":407,"extension":408,"faq":838,"image":847,"imageAlt":848,"lang":421,"legacyUrl":422,"meta":849,"navigation":424,"path":850,"readingTime":851,"seo":852,"sitemap":853,"stem":854,"tags":855,"translation":857,"updated":422,"__hash__":858},"insightsDe\u002Fde\u002Finsights\u002Fhttp2shell-brotli-lucke-jenseits-von-node-js.md","HTTP2Shell: Die Brotli-Lücke reicht weit über Node.js hinaus",{"type":8,"value":443,"toc":826},[444,456,460,478,482,485,603,618,622,633,648,655,659,701,713,717,729,736,740,743,806,810,823],[11,445,446,447,450,451,455],{},"Aus Node2Shell ist am 23. Oktober HTTP2Shell geworden – ein neuer Name, keine neue Lücke. Gemeint ist weiterhin ",[331,448,449],{},"CVE-2026-111497"," im Brotli-Decoder, deren Folgen für Node.js im ",[23,452,454],{"href":453},"\u002Fde\u002Finsights\u002Fnode2shell-warum-node-patchen-nicht-reicht","Beitrag von gestern"," stehen. Neu ist, wie weit dieselbe Bibliothek reicht: in Python-Pakete, Bun, Envoy, curl und Git for Windows. Gefährlich wird sie dort unter einer Bedingung, die in vielen Warnungen fehlt – die Software muss Brotli-Daten aus fremder Quelle entpacken.",[15,457,459],{"id":458},"was-ist-http2shell","Was ist HTTP2Shell?",[11,461,462,463,465,466,469,470,473,474,477],{},"HTTP2Shell ist der Name, unter dem das Sicherheitsunternehmen Aikido am 23. Oktober 2026 die Reichweite von ",[331,464,449],{}," über Node.js hinaus beschrieben hat: einem Out-of-Bounds-Write im Brotli-Decoder von Google, betroffen sind die Fassungen 1.0.3 bis 1.2.0. Der Name verschiebt den Blick vom Laufzeitsystem auf das Protokoll. Betroffen sein kann jede Software, die Brotli-komprimierte HTTP-Daten entpackt. Fehler, Fix und die korrigierten Fassungen ",[331,467,468],{},"1.0.10",", ",[331,471,472],{},"1.1.1"," und ",[331,475,476],{},"1.2.1"," sind dieselben wie am 21. Oktober; den CVE-Eintrag hat Google selbst herausgegeben.",[15,479,481],{"id":480},"wer-betroffen-ist-und-unter-welcher-bedingung","Wer betroffen ist – und unter welcher Bedingung",[11,483,484],{},"Betroffen ist eine Software nur, wenn sie eine verwundbare Brotli-Fassung enthält und damit Daten entpackt, die ein Angreifer liefern kann. Bei den meisten der jetzt genannten Projekte ist genau das optional:",[143,486,487,500],{},[146,488,489],{},[149,490,491,494,497],{},[152,492,493],{},"Komponente",[152,495,496],{},"Betroffen, wenn",[152,498,499],{},"Fix",[159,501,502,524,544,566,588],{},[149,503,504,513,516],{},[164,505,506,507,469,510],{},"Python ",[331,508,509],{},"brotli",[331,511,512],{},"brotlicffi",[164,514,515],{},"requests, httpx oder aiohttp sie vorfinden",[164,517,518,520,521],{},[331,519,476],{}," bzw. ",[331,522,523],{},"1.2.1.0",[149,525,526,529,539],{},[164,527,528],{},"Bun",[164,530,531,534,535,538],{},[331,532,533],{},"fetch"," oder ",[331,536,537],{},"node:zlib"," Brotli entpackt",[164,540,541],{},[331,542,543],{},"1.4.4",[149,545,546,549,552],{},[164,547,548],{},"Envoy",[164,550,551],{},"der Brotli-Decompressor konfiguriert ist",[164,553,554,469,557,469,560,469,563],{},[331,555,556],{},"1.37.8",[331,558,559],{},"1.38.6",[331,561,562],{},"1.39.3",[331,564,565],{},"1.40.0",[149,567,568,571,577],{},[164,569,570],{},"Istio",[164,572,573,574,538],{},"es etwa per ",[331,575,576],{},"EnvoyFilter",[164,578,579,469,582,469,585],{},[331,580,581],{},"1.29.9",[331,583,584],{},"1.30.6",[331,586,587],{},"1.31.2",[149,589,590,593,600],{},[164,591,592],{},"curl, libcurl",[164,594,595,596,599],{},"mit Brotli gebaut und ",[331,597,598],{},"--compressed"," gesetzt",[164,601,602],{},"Brotli-Bibliothek oder Build aktualisieren",[11,604,605,606,609,610,613,614,617],{},"Für Python hat GitHub am 22. Oktober ein eigenes Advisory veröffentlicht, ",[331,607,608],{},"GHSA-9v8h-qqgm-4m35",". Die Pakete kommen oft als indirekte Abhängigkeit in eine Umgebung. Istio hat den Fix bereits am 15. Oktober ausgeliefert, vor der Offenlegung. Kopien, die fest in ein Programm eingebaut sind, brauchen einen neuen Build: Git for Windows ",[331,611,612],{},"2.56.0.windows.3"," vom 22. Oktober führt in seiner Paketliste weiterhin ",[331,615,616],{},"brotli 1.2.0-1",".",[15,619,621],{"id":620},"server-und-client-die-richtung-entscheidet","Server und Client: Die Richtung entscheidet",[11,623,624,625,628,629,632],{},"Die Lücke wirkt in beide Richtungen, und die zweite wird leicht übersehen. Auf der Serverseite entpackt eine Anwendung Brotli-komprimierte Anfragen, bei Node.js etwa über die Parser von Express 5. Auf der Clientseite entpackt sie die Antwort eines Servers, den sie selbst aufruft: Bun und Nodes ",[331,626,627],{},"fetch()"," tun das automatisch, urllib3 und damit requests nach dem ",[331,630,631],{},"Content-Encoding"," der Antwort.",[11,634,635,636,639,640,643,644,647],{},"Für die Clientseite muss ein Angreifer keinen Server angreifen, sondern einen betreiben. Jede Funktion, die eine fremde Adresse abruft, ist ein solcher Weg: Webhooks, Link-Vorschauen, Avatar-Importe, ein ",[331,637,638],{},"git clone"," von einem unbekannten Server. Ein Test des Blogs lilting.ch vom 24. Oktober zeigt, dass urllib3 eine Brotli-Antwort selbst dann entpackt, wenn der Client mit ",[331,641,642],{},"Accept-Encoding: identity"," keine Kompression verlangt hat. Ein Reverse Proxy, der Anfragen mit ",[331,645,646],{},"Content-Encoding: br"," abweist, schützt diese Richtung nicht.",[11,649,650,651,654],{},"Bun nennt im Advisory ausdrücklich keinen Workaround für den ganzen Prozess; einzelne Abrufe lassen sich mit ",[331,652,653],{},"decompress: false"," schützen. Die verbreiteten Webserver sind dagegen selten der Weg: Apache und nginx komprimieren mit Brotli, entpacken laut Aikido aber standardmäßig nicht.",[15,656,658],{"id":657},"versionsnummern-zeigen-den-fix-nicht","Versionsnummern zeigen den Fix nicht",[11,660,661,662,473,665,668,669,672,673,676,677,680,681,684,685,688,689,692,693,696,697,700],{},"Ob eine Komponente den Fix enthält, lässt sich an ihrer Brotli-Versionsangabe nicht zuverlässig ablesen. Node.js hat in ",[331,663,664],{},"24.22.1",[331,666,667],{},"26.12.1"," nur den Fix-Commit übernommen; die Versionsdatei im Quellbaum steht weiter auf ",[331,670,671],{},"1.2.0",", in ",[331,674,675],{},"22.23.4"," auf ",[331,678,679],{},"1.1.0",", und ",[331,682,683],{},"process.versions.brotli"," meldet diese Werte. Debian hat den Fix zurückportiert: ",[331,686,687],{},"1.0.9-2+deb12u1"," für Bookworm (",[331,690,691],{},"DLA-4855-1",") und ",[331,694,695],{},"1.1.0-2+deb13u1"," für Trixie (",[331,698,699],{},"DSA-6582-1","), beide vom 23. Oktober. Wer nur die Upstream-Version vergleicht, meldet gepatchte Systeme als verwundbar.",[11,702,703,704,707,708,712],{},"Dazu kommt der Zeitplan. Der Fix-Commit ",[331,705,706],{},"0ed4268"," liegt seit dem 27. Februar 2026 öffentlich im Brotli-Repository, beschrieben als „Detect and report invalid stream earlier.“ Ein Release folgte erst am 21. Oktober. Knapp acht Monate stand die Korrektur damit im Quellcode, aber in keiner Fassung, die Distributionen und Paketmanager ausliefern – ein stiller Fix wie zuletzt beim ",[23,709,711],{"href":710},"\u002Fde\u002Finsights\u002Ffortinet-hardening-release-patchen-ohne-advisory","Hardening-Release von Fortinet",", nur länger.",[15,714,716],{"id":715},"wie-kritisch-die-lücke-wirklich-ist","Wie kritisch die Lücke wirklich ist",[11,718,719,720,724,725,728],{},"Die Lage hat sich seit dem 21. Oktober nicht verschärft, sondern geklärt: Bekannt ist jetzt, wo der Decoder überall steckt, Angriffe sind weiterhin keine bekannt. Google bewertet die Lücke mit ",[23,721,723],{"href":722},"\u002Fde\u002Fwissen\u002Fcvss","CVSS"," 9.2 nach Version 4.0, der Vektor enthält aber ",[331,726,727],{},"AT:P"," – ein erfolgreicher Angriff setzt bestimmte Einsatzbedingungen des Systems voraus. Andere bewerten niedriger: Node.js und Bun mit „high“, Amazon Linux mit 8.1 nach CVSS 3.1, Ubuntu mit der Priorität „medium“.",[11,730,731,732,735],{},"CISAs Einschätzung im CVE-Eintrag lautet für Ausnutzung „none“ und für Automatisierbarkeit „no“; im ",[23,733,734],{"href":100},"KEV-Katalog"," steht die Lücke mit Stand 24. Oktober nicht. Die einzige dokumentierte Codeausführung bleibt Impervas Exploit gegen Node.js, der nicht bei jedem Versuch gelang. Auf GitHub sind seit dem 21. Oktober mehr als 30 Repositories mit Proof-of-Concepts, Testlaboren und Prüfskripten zur CVE erschienen; ob darunter ein verlässlicher Exploit ist, ist offen.",[15,737,739],{"id":738},"was-jetzt-zu-tun-ist","Was jetzt zu tun ist",[11,741,742],{},"Die Arbeit verschiebt sich von der Frage nach der Version zur Frage, wer fremde Daten entpackt:",[29,744,745,760,773,779,785,791],{},[32,746,747,750,751,473,753,676,755,520,757,759],{},[35,748,749],{},"Python-Umgebungen prüfen",", nicht nur die Projektdateien: ",[331,752,509],{},[331,754,512],{},[331,756,476],{},[331,758,523],{}," heben, auch in Container-Images.",[32,761,762,765,766,769,770,772],{},[35,763,764],{},"Fest eingebaute Kopien neu bauen."," Mit ",[331,767,768],{},"bun build --compile"," erzeugte Programme bleiben laut Bun verwundbar, bis sie mit ",[331,771,543],{}," neu gebaut sind; dasselbe gilt für statisch gelinktes curl.",[32,774,775,778],{},[35,776,777],{},"Proxy-Konfigurationen durchsuchen."," Envoy und Istio erreichen den Decoder nur mit aktivem Brotli-Decompressor; wo er konfiguriert ist, hat das Update Vorrang.",[32,780,781,784],{},[35,782,783],{},"Ausgehende Abrufe einbeziehen."," Dienste, die Adressen von Nutzern abrufen, entpacken die Antworten fremder Server.",[32,786,787,790],{},[35,788,789],{},"Distributionspakete aktualisieren"," und Prozesse neu starten. Ubuntu führt die Lücke als „needs evaluation“, Amazon Linux 2023 das Brotli-Paket als „pending fix“ (Stand 24. Oktober); dynamisch gelinkte Programme wie curl profitieren vom Bibliotheks-Update ohne eigenes Release.",[32,792,793,796,797,799,800,534,802,805],{},[35,794,795],{},"Versionsbefunde gegen den Fix-Stand prüfen."," Brotli ",[331,798,671],{}," in Node ",[331,801,664],{},[331,803,804],{},"1.0.9"," in Debian Bookworm ist kein Befund.",[15,807,809],{"id":808},"was-hilft-und-warum-sichtbarkeit-entscheidet","Was hilft – und warum Sichtbarkeit entscheidet",[11,811,812,813,817,818,822],{},"Bei HTTP2Shell zählt weniger, welche Brotli-Version installiert ist, als welche Systeme fremde Daten entpacken: öffentliche APIs, Proxys, Dienste, die Adressen von Nutzern abrufen. blacklens.io erfasst über ",[23,814,816],{"href":815},"\u002Fde\u002Fplatform\u002Fattack-surface-management","Attack Surface Management"," laufend von außen, welche Dienste und Webanwendungen erreichbar sind und welche Technologien in welchen Versionen darauf laufen. Das ",[23,819,821],{"href":820},"\u002Fde\u002Fplatform\u002Femerging-threats","Threat Center"," gleicht neue CVEs in Echtzeit mit diesem Inventar ab und weist je Treffer aus, ob er auf der exakten Version beruht oder nur auf dem Produkt.",[11,824,825],{},"Die Grenze ist hier enger als bei Node2Shell. Der CVE-Eintrag nennt als betroffenes Produkt nur Brotli, eine Bibliothek, die ein Dienst nach außen nicht anzeigt; erkennbar sind ihre Träger, etwa Node.js-Anwendungen und Proxys. Ein Brotli-Paket in einer Python-Umgebung oder einem kompilierten Programm findet nur eine Prüfung auf dem System. Von außen lässt sich eingrenzen, wo sie zuerst nötig ist.",{"title":389,"searchDepth":390,"depth":390,"links":827},[828,829,830,831,832,833,834],{"id":458,"depth":393,"text":459},{"id":480,"depth":393,"text":481},{"id":620,"depth":393,"text":621},{"id":657,"depth":393,"text":658},{"id":715,"depth":393,"text":716},{"id":738,"depth":393,"text":739},{"id":808,"depth":393,"text":809},"threat","2026-10-24","HTTP2Shell ist keine neue Lücke, sondern CVE-2026-111497 in jeder Software mit Brotli-Decoder. Wer betroffen ist und warum die Versionsnummer täuscht.",[839,841,844],{"q":459,"a":840},"HTTP2Shell ist ein Name für CVE-2026-111497, einen Out-of-Bounds-Write im Brotli-Decoder von Google in den Fassungen 1.0.3 bis 1.2.0. Das Sicherheitsunternehmen Aikido hat ihn am 23. Oktober 2026 eingeführt, weil die Lücke nicht nur Node.js betrifft, wo sie als Node2Shell bekannt wurde, sondern auch Python-Pakete, Bun, Envoy und curl. Es ist dieselbe Schwachstelle mit denselben Korrekturen: Brotli 1.0.10, 1.1.1 und 1.2.1.",{"q":842,"a":843},"Sind Python requests und httpx von HTTP2Shell betroffen?","Python requests und httpx sind nur betroffen, wenn in derselben Umgebung das Paket brotli vor 1.2.1 oder brotlicffi vor 1.2.1.0 installiert ist. Beide bringen keinen eigenen Brotli-Decoder mit, sondern nutzen diese Pakete, sobald sie vorhanden sind, bei httpx etwa über das Extra httpx[brotli]. Dann entpacken sie Brotli-Antworten der aufgerufenen Server automatisch. Ob die Pakete installiert sind, zeigt die Umgebung selbst, nicht die Abhängigkeitsliste des Projekts.",{"q":845,"a":846},"Wie hilft blacklens.io bei HTTP2Shell?","blacklens.io erfasst über Attack Surface Management laufend von außen, welche Dienste, Webanwendungen und Technologien erreichbar sind, und gleicht neue CVEs im Threat Center in Echtzeit mit diesem Inventar ab, jeweils mit der Angabe, ob ein Treffer auf der exakten Version oder nur auf dem Produkt beruht. Für HTTP2Shell zeigt das, wo Träger wie Node.js-Anwendungen und Proxys erreichbar sind. Die Brotli-Bibliothek selbst ist von außen nicht sichtbar und wird auf dem System geprüft.","\u002Fimages\u002Finsights\u002Fhttp2shell-brotli-lucke-jenseits-von-node-js.webp","Person am Laptop stützt den Kopf in die Hände, davor eine Weltkarte aus roten Punkten mit vielen Warnsymbolen",{},"\u002Fde\u002Finsights\u002Fhttp2shell-brotli-lucke-jenseits-von-node-js",5,{"title":441,"description":837},{"loc":850},"de\u002Finsights\u002Fhttp2shell-brotli-lucke-jenseits-von-node-js",[856],"Bedrohungslage","http2shell-brotli-lucke-jenseits-von-node-js","JvcZSOyYOGWGWWJfHeJapz_bX0CKuB_N3FqRlhdTE4k",{"id":860,"title":861,"author":6,"body":862,"category":835,"date":1196,"description":1197,"draft":407,"extension":408,"faq":1198,"image":1208,"imageAlt":1209,"lang":421,"legacyUrl":422,"meta":1210,"navigation":424,"path":453,"readingTime":851,"seo":1211,"sitemap":1212,"stem":1213,"tags":1214,"translation":1215,"updated":836,"__hash__":1216},"insightsDe\u002Fde\u002Finsights\u002Fnode2shell-warum-node-patchen-nicht-reicht.md","Node2Shell: Warum Node patchen allein nicht reicht",{"type":8,"value":863,"toc":1188},[864,870,874,883,896,900,911,921,925,934,980,994,998,1034,1113,1115,1118,1169,1171,1185],[11,865,866,867,869],{},"Node.js hat am 21. Oktober 2026 Sicherheitsupdates für zehn Schwachstellen veröffentlicht. Die schwerste davon, ",[331,868,449],{},", erlaubt Remote Code Execution über manipulierte Brotli-Daten. Der fehlerhafte Code steht allerdings nicht in Node.js, sondern in der Kompressionsbibliothek, die Node.js mitliefert – und das entscheidet darüber, ob eine aktualisierte Node-Fassung die Lücke überhaupt schließt.",[15,871,873],{"id":872},"was-node2shell-ist","Was Node2Shell ist",[11,875,876,877,879,880,882],{},"Node2Shell ist der Name, unter dem Imperva am 22. Oktober seine Analyse von ",[331,878,449],{}," veröffentlicht hat: einem Out-of-Bounds-Write im Brotli-Decoder, den Node.js in den Zweigen 22.x, 24.x und 26.x mitbringt. Node.js stuft die Lücke als „high“ ein und hat sie am 21. Oktober behoben. Der CVE-Eintrag bewertet sie strenger, mit ",[23,881,723],{"href":722}," 9.2 nach Version 4.0 und der Stufe kritisch. Gemeldet haben sie Khai Tran und Sylvie Mayer von OpenAI Codex Security, den Fix entwickelten zwei Mitglieder des Node.js-Teams.",[11,884,885,886,890,891,895],{},"Die Lücke erschien am selben Tag wie ",[23,887,889],{"href":888},"\u002Fde\u002Finsights\u002Fphp2shell-kritische-rce-lucken-in-php","PHP2Shell"," und mit derselben Bewertung, CVSS 9.2. Auffällig ist, wer gemeldet hat: Bei PHP waren Forscher von OpenAI unter den Meldern, hier ist es dessen Codex-Security-Team. Wie viel davon auf KI-Werkzeuge zurückgeht, sagen die Advisories nicht – dass die Sicherheitsteams der KI-Anbieter in den Danksagungen stehen, ist seit ",[23,892,894],{"href":893},"\u002Fde\u002Finsights\u002Fclaude-mythos-wenn-schwachstellen-schneller-kommen-als-patches","April"," Routine.",[15,897,899],{"id":898},"der-fehler-liegt-in-brotli-nicht-in-nodejs","Der Fehler liegt in Brotli, nicht in Node.js",[11,901,902,903,906,907,910],{},"Der verwundbare Code steht in der Referenzimplementierung von Brotli, Googles Kompressionsformat, in ",[331,904,905],{},"c\u002Fdec\u002Fdecode.c",". Beim Dekomprimieren prüft der Decoder, ob ein Datenstrom auf einen anderen Blocktyp umschaltet. Meldete diese Prüfung einen Fehler, gab die zuständige Funktion ihn auf dem schnellen Dekodierpfad nicht weiter – ihre Aufrufer hatten keinen Rückgabewert dafür. Der Decoder arbeitete mit ungültigem internem Zustand weiter und schrieb dabei über den vorgesehenen Puffer hinaus. Der CVE-Eintrag führt das als ",[331,908,909],{},"CWE-252",", nicht geprüfter Rückgabewert; der Fix lässt die Funktionen einen Formatfehler zurückgeben und bricht den Datenstrom ab.",[11,912,913,914,469,916,473,918,920],{},"Entscheidend für die Reichweite ist die Versionsangabe im CVE-Eintrag: Betroffen sind die Brotli-Fassungen 1.0.3 bis 1.2.0 „on all platforms“, zu aktualisieren sind „any Brotli libraries or binaries“. Korrigiert sind ",[331,915,468],{},[331,917,472],{},[331,919,476],{},", alle am 21. Oktober erschienen. Node.js ist der bekannteste Abnehmer dieser Bibliothek, nicht der einzige.",[15,922,924],{"id":923},"der-decoder-ist-erreichbar-ohne-dass-brotli-im-code-steht","Der Decoder ist erreichbar, ohne dass Brotli im Code steht",[11,926,927,928,930,931,933],{},"Eine Anwendung muss Brotli nirgends aufrufen, um den Decoder zu erreichen. Drei Wege führen laut Imperva hinein: der direkte Aufruf über ",[331,929,537],{},", Nodes eingebautes ",[331,932,627],{},", das eine Brotli-komprimierte Antwort selbstständig dekomprimiert, und die Request-Parser von Express 5.",[11,935,936,937,469,940,469,943,473,946,949,950,952,953,469,956,469,959,473,962,965,966,969,970,973,974,976,977,979],{},"Der dritte Weg vergrößert die Angriffsfläche am stärksten. Der Umstiegsleitfaden von Express 5 führt die Brotli-Dekomprimierung als Verbesserung ohne Migrationsschritt: ",[331,938,939],{},"express.json()",[331,941,942],{},"express.urlencoded()",[331,944,945],{},"express.text()",[331,947,948],{},"express.raw()"," nehmen ",[331,951,646],{}," an. body-parser dokumentiert, alle Parser unterstützten „automatic inflation“ von ",[331,954,955],{},"gzip",[331,957,958],{},"br",[331,960,961],{},"deflate",[331,963,964],{},"zstd","; die einzige dafür dokumentierte Option ist ",[331,967,968],{},"inflate"," mit dem Standardwert ",[331,971,972],{},"true",". Einen Schalter nur für Brotli nennt die Dokumentation nicht. Wer ",[331,975,939],{}," einsetzt und ",[331,978,968],{}," nicht abschaltet, nimmt also Brotli-Körper an, ohne das im eigenen Code zu sehen. Ein nackter HTTP-Server in Node dekomprimiert eingehende Brotli-Körper dagegen nicht allein dadurch, dass er sie empfängt.",[11,981,982,983,986,987,989,990,993],{},"Imperva hat diesen Weg bis zur Codeausführung durchgespielt: Im offiziellen Node-Image ",[331,984,985],{},"24.22.0"," für Linux\u002Farm64 legte eine Brotli-Nachricht eine Datei an, für die die Testanwendung keinen Code enthielt – ohne Debugger, aber nicht bei jedem Versuch. ",[331,988,664],{}," wies die Eingaben ab. Das ist bislang die einzige öffentliche Demonstration; Angriffe in der Praxis melden weder Node.js noch Imperva, und im ",[23,991,992],{"href":100},"CISA-KEV-Katalog"," steht die Lücke mit Stand 23. Oktober nicht.",[15,995,997],{"id":996},"warum-eine-gepatchte-node-version-nicht-genügt","Warum eine gepatchte Node-Version nicht genügt",[11,999,1000,1001,1004,1005,1007,1008,1011,1012,1014,1015,1017,1018,1021,1022,688,1024,692,1026,696,1028,1030,1031,617],{},"Ob ",[331,1002,1003],{},"node -v"," eine korrigierte Fassung zeigt, entscheidet nur dort, wo Node seinen eigenen Brotli-Code benutzt. Debians Paket tut das nicht: Im Sicherheits-Tracker steht zu ",[331,1006,449],{}," die Notiz, ",[331,1009,1010],{},"nodejs"," nutze die Brotli-Bibliothek des Systems. Entsprechend führt Debian beide Pakete – ",[331,1013,509],{}," als „vulnerable“ und ",[331,1016,1010],{}," mit der Dringlichkeit „unimportant“. Auf diesen Systemen schließt erst das Brotli-Paket die Lücke. Bei Veröffentlichung dieses Beitrags am Morgen des 23. Oktober war es dort nicht verfügbar; ",[35,1019,1020],{},"Nachtrag vom 24. Oktober:"," Noch am selben Tag folgten ",[331,1023,687],{},[331,1025,691],{},[331,1027,695],{},[331,1029,699],{},"), für Sid steht der Fix aus. Wie weit dieselbe Lücke über Node.js hinausreicht, beschreibt der Folgebeitrag zu ",[23,1032,1033],{"href":850},"HTTP2Shell",[143,1035,1036,1048],{},[146,1037,1038],{},[149,1039,1040,1042,1045],{},[152,1041,493],{},[152,1043,1044],{},"Fassung mit Fix",[152,1046,1047],{},"Hinweis",[159,1049,1050,1062,1074,1086,1097],{},[149,1051,1052,1055,1059],{},[164,1053,1054],{},"Node.js 26.x",[164,1056,1057],{},[331,1058,667],{},[164,1060,1061],{},"aktueller Zweig",[149,1063,1064,1067,1071],{},[164,1065,1066],{},"Node.js 24.x",[164,1068,1069],{},[331,1070,664],{},[164,1072,1073],{},"aktuelles LTS",[149,1075,1076,1079,1083],{},[164,1077,1078],{},"Node.js 22.x",[164,1080,1081],{},[331,1082,675],{},[164,1084,1085],{},"LTS",[149,1087,1088,1091,1094],{},[164,1089,1090],{},"Node.js 20.x und älter",[164,1092,1093],{},"kein Fix",[164,1095,1096],{},"End of Life, laut Advisory immer betroffen",[149,1098,1099,1102,1110],{},[164,1100,1101],{},"Brotli-Bibliothek",[164,1103,1104,469,1106,469,1108],{},[331,1105,468],{},[331,1107,472],{},[331,1109,476],{},[164,1111,1112],{},"maßgeblich, wo Node die System-Bibliothek nutzt",[15,1114,739],{"id":738},[11,1116,1117],{},"Die Schritte unterscheiden sich von einem gewöhnlichen Update darin, dass die Node-Version allein nicht über die Lücke entscheidet:",[29,1119,1120,1126,1136,1142,1157,1163],{},[32,1121,1122,1125],{},[35,1123,1124],{},"Laufzeitumgebungen aktualisieren"," und die Prozesse neu starten: Ein laufender Prozess behält den alten Decoder im Speicher.",[32,1127,1128,1131,1132,1135],{},[35,1129,1130],{},"Die Brotli-Bibliothek mitprüfen",", wo Node aus einem Distributionspaket kommt: Dort ist ",[331,1133,1134],{},"libbrotli"," die verbindliche Angabe.",[32,1137,1138,1141],{},[35,1139,1140],{},"Jedes Image einzeln prüfen",", nicht nur den Host. In Container-Images und Appliances mit eingebauter Laufzeitumgebung veralten Versionsangaben am schnellsten; eine Paketliste des Hosts zeigt sie nicht.",[32,1143,1144,1147,1148,1151,1152,473,1154,1156],{},[35,1145,1146],{},"Brotli-Verkehr aus unbekannter Quelle begrenzen",", solange das Update wartet. ",[331,1149,1150],{},"inflate: false"," weist auch ",[331,1153,955],{},[331,1155,961],{}," ab und bricht damit möglicherweise bestehende Clients; eine Begrenzung auf betroffenen Pfaden am Webserver oder in der Web Application Firewall trifft enger.",[32,1158,1159,1162],{},[35,1160,1161],{},"Die übrigen neun Lücken nicht übersehen."," Das Release vom 21. Oktober behebt zehn CVEs, drei weitere davon mit der Stufe „high“: abgeschnittene DNS-Namen mit NUL-Zeichen und zwei Umgehungen der TLS-Hostnamen-Prüfung.",[32,1164,1165,1168],{},[35,1166,1167],{},"Decoder-Fehler nicht als Beweis lesen."," Abgestürzte Prozesse und Fehler des Decoders sind laut Imperva allein kein verlässliches Zeichen für einen Angriff – aussagekräftig werden sie erst zusammen mit der eingesetzten Fassung und der Herkunft der Daten.",[15,1170,809],{"id":808},[11,1172,1173,1174,1176,1177,1181,1182,1184],{},"Die Frage am Tag eines solchen Updates ist nicht, wie man Node.js aktualisiert, sondern wo überall eine Laufzeitumgebung läuft. blacklens.io erfasst über ",[23,1175,816],{"href":815}," laufend von außen, welche Dienste und Webanwendungen erreichbar sind und welche Technologien in welchen Versionen darauf laufen; interne Systeme deckt der ",[23,1178,1180],{"href":1179},"\u002Fde\u002Fplatform\u002Fsentry","Sentry Agent"," ab. Das ",[23,1183,821],{"href":820}," gleicht neue CVEs in Echtzeit mit diesem Inventar ab und weist aus, ob ein Treffer auf der exakten Version beruht oder nur auf dem Produkt.",[11,1186,1187],{},"Eine Grenze gehört dazu: Welche Brotli-Bibliothek ein Node-Prozess geladen hat, verrät kein Dienst von außen. Diese Prüfung bleibt auf dem System – welche Systeme sie betrifft, lässt sich vorher beantworten.",{"title":389,"searchDepth":390,"depth":390,"links":1189},[1190,1191,1192,1193,1194,1195],{"id":872,"depth":393,"text":873},{"id":898,"depth":393,"text":899},{"id":923,"depth":393,"text":924},{"id":996,"depth":393,"text":997},{"id":738,"depth":393,"text":739},{"id":808,"depth":393,"text":809},"2026-10-23","Node2Shell nutzt eine Lücke im Brotli-Decoder, den Node.js mitliefert. Der Fix steckt in Node 22.23.4, 24.22.1 und 26.12.1 – und in Brotli selbst.",[1199,1202,1205],{"q":1200,"a":1201},"Was ist Node2Shell?","Node2Shell ist der Name, unter dem das Sicherheitsunternehmen Imperva seine Analyse von CVE-2026-111497 veröffentlicht hat: einem Out-of-Bounds-Write im Brotli-Decoder, den Node.js mitliefert. Wer manipulierte Brotli-Daten an eine Anwendung schicken kann, die sie dekomprimiert, kann damit Speicher überschreiben und im Ergebnis eigenen Code ausführen. Node.js hat die Lücke am 21. Oktober 2026 behoben, der CVE-Eintrag bewertet sie mit CVSS 9.2 nach Version 4.0.",{"q":1203,"a":1204},"Welche Versionen schließen CVE-2026-111497?","Node.js liefert den Fix in 22.23.4, 24.22.1 und 26.12.1; die Zweige 20.x und älter sind End of Life und bekommen ihn nicht. Der fehlerhafte Code stammt aber aus der Brotli-Bibliothek, korrigiert in 1.0.10, 1.1.1 und 1.2.1. Wo Node die Brotli-Bibliothek des Systems nutzt, wie im Debian-Paket, entscheidet deren Fassung über die Lücke – nicht die Ausgabe von node -v.",{"q":1206,"a":1207},"Ist meine Anwendung betroffen, wenn sie Brotli nicht verwendet?","Möglicherweise ja. Der Decoder wird auch erreicht, ohne dass Brotli im eigenen Quellcode vorkommt: Nodes eingebautes fetch() dekomprimiert Brotli-Antworten selbst, und die Request-Parser von Express 5 und body-parser 2 nehmen Brotli-Körper an, solange die Option inflate auf ihrem Standardwert true steht. Ein nackter HTTP-Server in Node dekomprimiert eingehende Brotli-Körper laut Imperva nicht allein dadurch, dass er sie empfängt.","\u002Fimages\u002Finsights\u002Fnode2shell-warum-node-patchen-nicht-reicht.webp","Farbig leuchtende Quellcodezeilen auf einem dunklen Bildschirm, schräg fotografiert",{},{"title":861,"description":1197},{"loc":453},"de\u002Finsights\u002Fnode2shell-warum-node-patchen-nicht-reicht",[856],"node2shell-warum-node-patchen-nicht-reicht","hV0e5s2nwzEf8FN_GTA6FssGJES3Sfzk2ByEzKyRtyw",{"id":1218,"title":1219,"author":6,"body":1220,"category":835,"date":1461,"description":1462,"draft":407,"extension":408,"faq":1463,"image":1473,"imageAlt":1474,"lang":421,"legacyUrl":422,"meta":1475,"navigation":424,"path":710,"readingTime":851,"seo":1476,"sitemap":1477,"stem":1478,"tags":1479,"translation":1480,"updated":422,"__hash__":1481},"insightsDe\u002Fde\u002Finsights\u002Ffortinet-hardening-release-patchen-ohne-advisory.md","Fortinet Hardening Release: Patchen ohne Advisory",{"type":8,"value":1221,"toc":1452},[1222,1225,1229,1238,1313,1332,1336,1339,1352,1356,1362,1365,1369,1372,1380,1382,1385,1411,1414,1418,1432,1434,1446],[11,1223,1224],{},"Fortinet liefert am 22. Oktober 2026 Sicherheitsupdates für FortiOS, FortiManager und FortiAnalyzer aus, einen Tag nach FortiMail und FortiAuthenticator. Als kritisch und hoch eingestuft – aber ohne CVE-Nummer, ohne CVSS-Wert und ohne Angriffsbeschreibung. Die Advisories folgen erst am 10. November. Wer diese Woche patcht, schließt Lücken, die er nicht benennen kann.",[15,1226,1228],{"id":1227},"was-fortinet-am-22-oktober-ausliefert","Was Fortinet am 22. Oktober ausliefert",[11,1230,1231,1232,1237],{},"Das Security Hardening Release ist ein gebündelter Satz Sicherheitsupdates für fünf Produktlinien, angekündigt am 21. Oktober 2026 von Fortinet-CISO Carl Windsor in ",[23,1233,1236],{"href":1234,"rel":1235},"https:\u002F\u002Fwww.fortinet.com\u002Fblog\u002Fciso-collective\u002Ffortinet-releases-security-hardening-release-for-multiple-products",[43],"Fortinets CISO-Blog",". FortiMail und FortiAuthenticator sind seit dem 21. Oktober verfügbar. Zum Inhalt steht dort ein Satz: „These releases include critical and high-severity fixes.“",[143,1239,1240,1253],{},[146,1241,1242],{},[149,1243,1244,1247,1250],{},[152,1245,1246],{},"Branch",[152,1248,1249],{},"FortiOS",[152,1251,1252],{},"FortiManager und FortiAnalyzer",[159,1254,1255,1269,1283,1298],{},[149,1256,1257,1260,1265],{},[164,1258,1259],{},"8.0",[164,1261,1262],{},[331,1263,1264],{},"8.0.2",[164,1266,1267],{},[331,1268,1264],{},[149,1270,1271,1274,1279],{},[164,1272,1273],{},"7.6",[164,1275,1276],{},[331,1277,1278],{},"7.6.8",[164,1280,1281],{},[331,1282,1278],{},[149,1284,1285,1288,1293],{},[164,1286,1287],{},"7.4",[164,1289,1290],{},[331,1291,1292],{},"7.4.13",[164,1294,1295],{},[331,1296,1297],{},"7.4.12",[149,1299,1300,1303,1308],{},[164,1301,1302],{},"7.2",[164,1304,1305],{},[331,1306,1307],{},"7.2.14",[164,1309,1310],{},[331,1311,1312],{},"7.2.13",[11,1314,1315,1316,469,1318,473,1321,1324,1325,473,1328,1331],{},"Betroffen ist jeweils alles darunter. Für FortiMail gelten ",[331,1317,1264],{},[331,1319,1320],{},"7.6.7",[331,1322,1323],{},"7.4.9",", für FortiAuthenticator ",[331,1326,1327],{},"8.0.4",[331,1329,1330],{},"6.6.11","; FortiMail 7.2 bekommt keinen Fix, sondern den Wechsel auf die 7.4er-Reihe. FortiSASE aktualisiert Fortinet selbst, FortiManager Cloud kann einen manuellen Schritt erfordern.",[15,1333,1335],{"id":1334},"warum-es-keine-cve-nummern-gibt","Warum es keine CVE-Nummern gibt",[11,1337,1338],{},"Die Advisories erscheinen laut Fortinet erst am nächsten Patch Tuesday, dem 10. November, auf der Advisory-Seite des Fortinet Product Security Incident Response Team – als Teil einer „ongoing commitment to responsible transparency while balancing customer security“. Knapp drei Wochen Vorsprung für Betreiber, so ist es gedacht.",[11,1340,1341,1342,1347,1348,1351],{},"Die Herkunft der Lücken erklärt die Bündelung. Sie stammen nicht von externen Meldern, sondern aus Fortinets eigenem KI-gestützten Testprogramm; Fortinet dankt Anthropic, OpenAI, Google und SpaceX für die Zusammenarbeit. Wie das abläuft, hat Windsor ",[23,1343,1346],{"href":1344,"rel":1345},"https:\u002F\u002Fwww.fortinet.com\u002Fblog\u002Fciso-collective\u002Fupdate-on-fortinet-use-of-frontier-ai",[43],"im Juni 2026 beschrieben",": Mehrere Frontier-Modelle gleichen den Quellcode mit einem zuvor erstellten Bedrohungsmodell der Firmware ab; was übrig bleibt, validiert ein Penetrationstest. Bei über 100 Tests in 30 Produktfamilien waren 40 Prozent der Befunde echte Treffer und 30 Prozent Fehlalarme. Was im April mit ",[23,1349,1350],{"href":893},"Claude Mythos"," als Ausblick begann, kommt jetzt als Firmware-Update.",[15,1353,1355],{"id":1354},"ein-patch-ohne-cve-nummer-ist-für-scanner-und-richtlinien-unsichtbar","Ein Patch ohne CVE-Nummer ist für Scanner und Richtlinien unsichtbar",[11,1357,1358,1359,1361],{},"Schwachstellen-Scanner, Patch-Richtlinien und Ticketsysteme arbeiten mit CVE-Nummern. Fehlt die Nummer, fehlt alles, was daran hängt: kein NVD-Eintrag, kein EPSS-Wert, kein Eintrag im ",[23,1360,992],{"href":100},", kein CVSS-Wert, ab dem eine Patch-Richtlinie greift. Ein Change-Antrag, der seine Begründung sonst aus CVE-Nummer und Schweregrad bezieht, stützt sich in diesen 19 Tagen allein auf die Ankündigung des Herstellers.",[11,1363,1364],{},"Damit verschiebt sich die Frage: nicht mehr, welche CVE uns betrifft, sondern welche Version auf welchem erreichbaren Gerät läuft – und ob sie älter ist als die gepatchte. Auch die Risikoabwägung verliert ihre Grundlage, denn über Angriffsvoraussetzungen und Ausnutzbarkeit lässt sich vor dem 10. November nichts sagen. Bleibt die Erreichbarkeit von außen: Ein FortiManager, der im Internet steht, ist das Problem – mit oder ohne CVE-Nummer.",[15,1366,1368],{"id":1367},"patch-diffing-die-uhr-läuft-ab-dem-release","Patch Diffing: die Uhr läuft ab dem Release",[11,1370,1371],{},"Der Vorsprung, den die zurückgehaltenen Advisories schaffen sollen, gilt nur für den, der liest – nicht für den, der vergleicht. Fortinet benennt das Risiko selbst: Mit der Veröffentlichung zeigt der Patch, wo im Code sich etwas geändert hat. Besonders gut taugen die Modelle laut dem Juni-Beitrag für genau das – „analyzing firmware, assessing changes between versions, and developing proof-of-concept exploits“. Fortinet rechnet mit Exploits in Stunden bis Tagen statt Wochen; der FortiGuard-Bericht 2026 beziffert die Zeit bis zur Ausnutzung bei kritischen Ausbrüchen mit 24 bis 48 Stunden, nach 4,76 Tagen im Schnitt 2024.",[11,1373,1374,1375,1379],{},"Dass Fortinet-Geräte ein bevorzugtes Ziel sind, ist belegt: Im CISA-KEV-Katalog stehen mit Stand 21. Oktober 2026 32 Einträge zu Fortinet-Produkten, zwei aus diesem Monat; wie konsequent Angreifer exponierte Management-Oberflächen abarbeiten, zeigte ",[23,1376,1378],{"href":1377},"\u002Fde\u002Finsights\u002Ffortibleed-wenn-zehntausende-firewalls-zur-offenen-tur-werden","FortiBleed",". Für die Lücken aus diesem Release ist bislang keine Ausnutzung bekannt; Fortinet nennt die Fixes ausdrücklich vorbeugend.",[15,1381,739],{"id":738},[11,1383,1384],{},"Fortinet empfiehlt, das Release als vorrangige Änderung zu behandeln, nicht als Routinewartung, und nennt vier Schritte:",[29,1386,1387,1393,1399,1405],{},[32,1388,1389,1392],{},[35,1390,1391],{},"Inventar:"," jede FortiManager-Installation und jede FortiOS-Instanz erfassen, die aus dem Internet erreichbaren zuerst.",[32,1394,1395,1398],{},[35,1396,1397],{},"Wartungsfenster:"," für exponierte Systeme auf den 22. und 23. Oktober legen.",[32,1400,1401,1404],{},[35,1402,1403],{},"Konfiguration sichern:"," vor dem Upgrade, nicht danach.",[32,1406,1407,1410],{},[35,1408,1409],{},"Logs prüfen:"," auf ungewöhnliche administrative Zugriffe und nicht genehmigte Konfigurationsänderungen, vor und nach dem Patchen.",[11,1412,1413],{},"Wo sich nicht sofort aktualisieren lässt, empfiehlt Fortinet, die Management-Zugänge über HTTPS und SSH auf vertrauenswürdige Adressen zu begrenzen, FortiManager vom Internet zu trennen und MFA für alle Administratorkonten zu erzwingen. Fortinet dazu: „These steps reduce risk but do not replace the need for a timely upgrade.“",[15,1415,1417],{"id":1416},"nicht-zu-verwechseln-php2shell-läuft-parallel","Nicht zu verwechseln: PHP2Shell läuft parallel",[11,1419,1420,1421,1424,1425,1428,1429,1431],{},"Die beiden PHP-Lücken vom 21. Oktober gehören nicht zu diesem Release. Fortinet führt sie getrennt im Advisory ",[331,1422,1423],{},"FG-IR-26-186"," und stuft ",[331,1426,1427],{},"CVE-2026-109618"," dort als kritisch mit CVSS 9.8 ein. Laut einer Auswertung von Help Net Security vom 22. Oktober listet Fortinet zwölf Produkte als nicht betroffen, darunter FortiOS, FortiManager, FortiAnalyzer, FortiMail und FortiWeb, und zwölf weitere als in Prüfung. Palo Alto Networks meldet PAN-OS und Panorama in allen Versionen als betroffen, noch ohne Fix. Mechanismus und Sofortmaßnahmen stehen in unserem Beitrag zu ",[23,1430,889],{"href":888},". Für Fortinet-Betreiber sind das diese Woche zwei getrennte Aufgaben.",[15,1433,809],{"id":808},[11,1435,1436,1437,1439,1440,1442,1443,1445],{},"Solange die CVE-Nummern fehlen, ist das Versionsinventar die einzige belastbare Grundlage. blacklens.io erfasst über ",[23,1438,816],{"href":815}," laufend von außen, welche Dienste erreichbar sind und welche Technologien in welcher Version darauf laufen; das Technologie-Inventar ist nach Hersteller und Produkt filterbar, interne Installationen deckt der ",[23,1441,1180],{"href":1179}," ab. Das beantwortet die Frage, die diese Woche zählt: Wo läuft eine Version älter als ",[331,1444,1278],{},", und ist sie aus dem Internet erreichbar?",[11,1447,1448,1449,1451],{},"Das ",[23,1450,821],{"href":820}," gleicht neue CVEs in Echtzeit mit diesem Inventar ab und weist aus, ob ein Treffer auf der exakten Version beruht oder nur auf dem Produkt – für dieses Release beginnt das am 10. November, vorher gibt es keine Nummern zum Abgleichen. Diese Woche ist das Release eine Inventarfrage. Die Schwachstellenfrage kommt im November.",{"title":389,"searchDepth":390,"depth":390,"links":1453},[1454,1455,1456,1457,1458,1459,1460],{"id":1227,"depth":393,"text":1228},{"id":1334,"depth":393,"text":1335},{"id":1354,"depth":393,"text":1355},{"id":1367,"depth":393,"text":1368},{"id":738,"depth":393,"text":739},{"id":1416,"depth":393,"text":1417},{"id":808,"depth":393,"text":809},"2026-10-22","Fortinet liefert am 22. Oktober 2026 kritische Fixes für FortiOS, FortiManager und FortiAnalyzer aus. Die Advisories mit CVE-Nummern folgen am 10. November.",[1464,1467,1470],{"q":1465,"a":1466},"Was ist Fortinets Security Hardening Release vom Oktober 2026?","Das Security Hardening Release ist ein gebündelter Satz Sicherheitsupdates, den Fortinet am 21. und 22. Oktober 2026 für FortiMail, FortiAuthenticator, FortiOS, FortiManager und FortiAnalyzer ausgeliefert hat. Fortinet stuft die behobenen Lücken als kritisch und hoch ein, nennt aber vorerst keine CVE-Nummern, keine CVSS-Werte und keine Angriffsvoraussetzungen. Die Advisories erscheinen laut Ankündigung am 10. November 2026. Gefunden wurden die Lücken im KI-gestützten Testprogramm von Fortinet.",{"q":1468,"a":1469},"Welche Fortinet-Versionen beheben die Schwachstellen?","Behoben sind die Lücken laut Fortinets Ankündigung in FortiOS 8.0.2, 7.6.8, 7.4.13 und 7.2.14 sowie in FortiManager und FortiAnalyzer 8.0.2, 7.6.8, 7.4.12 und 7.2.13. Für FortiMail gelten 8.0.2, 7.6.7 und 7.4.9, für FortiAuthenticator 8.0.4 und 6.6.11. FortiMail 7.2 erhält keinen Fix, sondern den Wechsel auf die 7.4er-Reihe. FortiSASE aktualisiert Fortinet selbst, FortiManager Cloud kann einen manuellen Schritt erfordern.",{"q":1471,"a":1472},"Warum ist ein Patch ohne CVE-Nummer für Schwachstellen-Scanner ein Problem?","Ein Patch ohne CVE-Nummer bleibt für alles unsichtbar, was Schwachstellen über CVE-Nummern steuert: Schwachstellen-Scanner, Patch-Richtlinien, Ticketsysteme. Ohne die Nummer gibt es keinen NVD-Eintrag, keinen EPSS-Wert, keinen CISA-KEV-Status und keinen CVSS-Wert, ab dem eine Patch-Richtlinie greift. Bis die Advisories erscheinen, bleibt nur der Versionsvergleich: Welche Fortinet-Version läuft auf welchem erreichbaren System? Diese Frage beantwortet ein laufend aktualisiertes Technologie-Inventar.","\u002Fimages\u002Finsights\u002Ffortinet-hardening-release-patchen-ohne-advisory.webp","Tablet mit geöffneter Fortinet-Website vor einem unscharfen Monitor mit Quellcode",{},{"title":1219,"description":1462},{"loc":710},"de\u002Finsights\u002Ffortinet-hardening-release-patchen-ohne-advisory",[856],"fortinet-hardening-release-patchen-ohne-advisory","OoV7Gykawmn_xKeReTXorGcXs_Srwuvo3ki4PbubDqo",1793792273566]