Stand: 25. Oktober 2026
„Black October" ist die inoffizielle Bezeichnung für eine ungewöhnliche Häufung schwerer Sicherheitsmeldungen zwischen etwa dem 17. und 22. Oktober 2026. Betroffen waren unter anderem PHP, Node.js, GitLab, die KI-Bibliothek LiteLLM und die Zertifizierungsstelle eMudhra. Auffällig ist, dass ein Teil der Lücken mit KI-gestützten Werkzeugen gefunden wurde: Fehler, die teils seit Jahren im Code steckten, werden dadurch schneller entdeckt - und auch schneller ausgenutzt.
PHP: kritische Lücken im Interpreter
Am 21. Oktober hat das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht (CVE-2026-109618 und CVE-2026-109619, CVSS 9.2). Behoben sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Unser Stand: Wir haben PHP auf unseren Servern aktualisiert. Keine der von uns betreuten Websites ist ungeschützt. Was wir im Detail getan haben und wie es um ältere Systeme steht, liest du in unserem Bericht PHP-Sicherheitslücke: Was passiert ist und wie es weitergeht. Ob deine Website betroffen ist, prüfst du mit unserem Sicherheitscheck.
Node.js: Sicherheitsrelease für alle unterstützten Versionen
Ebenfalls am 21. Oktober hat das Node.js-Projekt Updates für die Versionslinien 22, 24 und 26 veröffentlicht. Die schwerwiegendste Lücke (CVE-2026-111497) steckt im eingebauten Brotli-Dekompressor: Manipulierte Daten können zum Absturz, zum Auslesen von Speicher oder sogar zum Ausführen von fremdem Code führen. Dazu kommen mehrere Fehler bei der Prüfung von TLS-Zertifikaten und DNS-Namen.
Behoben sind die Lücken in:
- Node.js 26.12.1
- Node.js 24.22.1 (LTS)
- Node.js 22.23.4
Unser Stand: Auch Node.js haben wir auf unseren Servern auf die gepatchten Versionen gebracht.
Was du jetzt tun solltest
Node.js läuft oft auch dort, wo wir keinen Zugriff haben: auf Arbeitsrechnern in deinem Team, auf Entwicklungs- und Build-Rechnern, in eigenen Docker-Images oder auf Servern, die du selbst betreibst. Bitte prüfe diese Systeme und aktualisiere sie:
- Version prüfen: Im Terminal
node -veingeben. Alles unter den oben genannten Versionen ist betroffen. - Aktualisieren: Über den Installer von nodejs.org, den Paketmanager deines Betriebssystems oder deinen Versionsmanager (z. B. nvm, fnm, Volta) auf die gepatchte Version deiner Versionslinie wechseln.
- Container und Pipelines nicht vergessen: Docker-Images, die auf einem
node-Basisimage aufbauen, neu bauen und dabei die aktuelle Version ziehen. Dasselbe gilt für CI/CD-Pipelines mit fest eingestellter Node.js-Version. - Veraltete Versionen ablösen: Node.js 20 und älter erhalten keine Sicherheitsupdates mehr und bleiben angreifbar. Hier hilft nur der Umstieg auf eine unterstützte Version.
Betreibst du selbst Server mit PHP, gilt dasselbe: bitte zeitnah auf die oben genannten PHP-Versionen aktualisieren. PHP 8.1 und älter erhalten keine regulären Updates mehr.
Wir unterstützen dich
Du bist unsicher, welche Systeme bei dir betroffen sind, oder möchtest das Update nicht selbst durchführen? Melde dich bei uns unter info@web-crossing.com oder +43 512 206567 - wir prüfen gemeinsam mit dir, was zu tun ist.
Dein Team von web-crossing
