In het kort
- Node.js bracht op 21 oktober 2026 beveiligingsreleases uit voor de reeksen 26.x, 24.x en 22.x.
- Het gaat om vier kwetsbaarheden, alle vier als hoog beoordeeld: een fout in de Brotli-decoder met kans op uitvoering van code op afstand, een fout in de DNS-afhandeling, en twee manieren om de controle van een TLS-certificaatnaam te omzeilen.
- Zoho onderzocht zijn producten en vond de getroffen versie enkel in een interne bouwdienst: niet tijdens het gebruik, zonder klantgegevens, niet bereikbaar vanaf het internet. Die dienst is uit voorzorg bijgewerkt.
- Voor u als klant verandert er niets: geen impact, geen actie, geen aanwijzing van misbruik.
- De vraag die wél blijft: draait er ergens in uw eigen huis Node.js? Daar bent u zelf de leverancier.
Binnen tien dagen is dit het tweede bericht van dit type. Eerst de PHP-kwetsbaarheden, nu vier lekken in Node.js. Dat is geen teken dat het slechter gaat met de beveiliging van bedrijfssoftware; het is een teken dat het proces werkt. Onderzoekers vinden fouten, de beheerders van de taal brengen herstelversies uit, en wie die taal gebruikt kijkt na of hij geraakt wordt. Het ongemak zit niet in het lek, maar in de vraag die erna komt: wie kijkt dat bij u na?
Node.js is de omgeving waarin heel veel moderne webtoepassingen draaien. U koopt ze zelden als "Node.js"; u koopt een webshop, een klantenportaal, een koppeling tussen twee systemen, een toepassing op maat. Onderhuids draait daar vaak deze motor. Dat maakt dit soort berichten zo lastig voor een KMO of MKB-bedrijf: het onderwerp klinkt technisch en veraf, terwijl het antwoord op de vraag "raakt mij dit?" bij uw eigen leverancier ligt en niet bij Zoho.
Wat er precies stuk was
De eerste fout, CVE-2026-111497, zit in de Brotli-decoder. Brotli is een manier om gegevens samen te persen zodat webpagina's sneller laden. De decoder schreef in bepaalde gevallen buiten het geheugen dat voor hem bestemd was. Zulke fouten zijn gevaarlijk omdat een aanvaller ze soms kan sturen tot hij code van zichzelf laat uitvoeren op uw server. De herstelversies zijn v26.12.1, v24.22.1 en v22.23.4.
De tweede, CVE-2026-105482, gaat over DNS: het opzoeken van welk adres bij welke naam hoort. Een naam met een verborgen nulteken erin werd afgekapt, waardoor het systeem een andere naam opzocht dan bedoeld was. De derde en de vierde, CVE-2026-105483 en CVE-2026-106069, raken iets waar u dagelijks op vertrouwt zonder het te weten: de controle of het certificaat van de tegenpartij wel bij de naam hoort die u aanspreekt. Door cijfers in een afwijkende schrijfwijze of een IP-adres in een ongebruikelijke notatie te gebruiken, kon die controle worden misleid.
Die laatste twee verdienen een extra zin, want ze zijn verraderlijker dan ze klinken. Het slot op uw verbinding bestaat uit twee delen: de versleuteling zelf, en de vraag of u wel praat met wie u denkt. Wordt het tweede deel omzeild, dan is uw verkeer nog altijd versleuteld, maar mogelijk met de verkeerde partij. Het slot staat op de deur, alleen is het niet uw deur.
Wat Zoho heeft nagekeken
Zoho onderzocht na de bekendmaking zijn producten en de onderliggende infrastructuur. De bevinding is kort: de getroffen Node.js-versie werd gebruikt in een interne dienst die softwareversies samenstelt. Die dienst draait niet mee tijdens het gebruik van de producten, verwerkt geen klantgegevens en is niet vanaf het internet bereikbaar. Uit voorzorg is hij bijgewerkt naar een herstelde versie. Er is geen aanwijzing van misbruik gevonden.
"Er is geen actie vereist vanwege onze klanten."— Zoho, beveiligingsbericht van 30 oktober 2026
Let op de vorm van dat bericht, want die is leerzaam. Er staat een datum in, de nummers van de kwetsbaarheden, welke versies geraakt zijn, in welke versie het hersteld is, waar het onderdeel precies draaide en wat eraan gedaan is. Daardoor is de bewering natrekbaar. Een leverancier die schrijft "wij nemen beveiliging zeer ernstig" zegt niets; een leverancier die schrijft welke versie waar draaide, zegt iets wat u desnoods kunt controleren. Dat onderscheid is de moeite waard wanneer u zelf leveranciers beoordeelt. Meer over de aanpak van Zoho leest u in het beveiligingsoverzicht van Zoho.
Waar uw eigen risico zit
Zoho draait in de cloud en wordt door Zoho onderhouden. Alles wat daarbuiten van u is, onderhoudt u zelf of laat u onderhouden. Dat is precies de grens waar dit soort berichten ongemakkelijk wordt. Een webshop bij een bureau, een klantenportaal dat ooit op maat gebouwd is, een koppeling die een zelfstandige ontwikkelaar vijf jaar geleden schreef: daar kan Node.js in zitten, en daar kijkt niemand naar tenzij u het vraagt.
De vraag die u stelt is eenvoudig en u hoeft er niets technisch voor te weten. Vraag uw IT-partner of ontwikkelaar: draait er Node.js in wat u voor ons beheert, welke versie is dat, en is die bijgewerkt na 21 oktober? Een partner die dat binnen een dag kan beantwoorden, heeft zijn zaken op orde. Een partner die het niet weet, heeft u net een nuttig inzicht bezorgd dat weinig met Node.js te maken heeft.
Maak van het antwoord meteen een lijstje dat blijft bestaan: welke toepassingen draaien bij ons of voor ons, op welke techniek, wie werkt ze bij, en hoe snel. Dat lijstje kost een halve dag en bespaart u elke volgende keer de paniek. Want er komt een volgende keer. Dat is geen pessimisme, dat is hoe software werkt.
Veelgestelde vragen
Moet ik iets doen in mijn Zoho-omgeving?
Nee. Zoho meldt uitdrukkelijk dat er geen impact is vastgesteld op klantgegevens of op de werking van de producten, en dat er van uw kant geen actie nodig is. De getroffen versie draaide in een interne bouwdienst die niet meedraait wanneer u met de toepassingen werkt en die niet vanaf het internet bereikbaar is. Die dienst is intussen bijgewerkt. U hoeft dus niets te installeren, niets opnieuw te koppelen en niets aan uw instellingen te wijzigen.
Wat is een CVE-nummer en waarom staat het in zo'n bericht?
Een CVE-nummer is een internationaal registratienummer voor één welbepaalde kwetsbaarheid, zoals CVE-2026-111497. Het bestaat omdat dezelfde fout anders bij elke leverancier een andere naam zou krijgen, en niemand nog zou kunnen nagaan of het over hetzelfde gaat. Voor u is het nut heel praktisch: met dat nummer kunt u uw leverancier een ondubbelzinnige vraag stellen, en kan hij een ondubbelzinnig antwoord geven. Een beveiligingsbericht zonder zulke nummers is een mededeling; een bericht mét nummers is een bewering die iemand kan natrekken.
Wij hebben een eigen webtoepassing. Hoe weet ik of Node.js erin zit?
Dat weet u doorgaans niet uit eigen waarneming, en dat hoeft ook niet. Vraag het aan wie de toepassing gebouwd heeft of beheert; die kan het in enkele minuten opzoeken. Vraag er meteen de versie bij en of ze na 21 oktober 2026 is bijgewerkt. Doet u dat per e-mail, dan heeft u bovendien een antwoord op papier. Dat lijkt formeel, maar het helpt: wie zijn antwoord moet opschrijven, kijkt eerst na. En u bouwt zo stilaan het overzicht op van wat er eigenlijk draait in uw bedrijf.
Wat betekent het omzeilen van de certificaatcontrole concreet?
Wanneer uw systeem een beveiligde verbinding opzet, controleert het of het certificaat van de tegenpartij hoort bij de naam die het wilde bereiken. Slaagt een aanvaller erin die controle te misleiden, bijvoorbeeld met cijfers in een afwijkende schrijfwijze of een IP-adres in een ongebruikelijke notatie, dan kan hij zich tussen beide partijen plaatsen. Het verkeer blijft versleuteld, maar mogelijk richting de verkeerde ontvanger. Dat is het scenario waar deze twee kwetsbaarheden het risico op vergrootten, en precies daarom staan ze als hoog geklasseerd.
Hoe weeg ik berichten als dit zonder in paniek te schieten?
Stel drie vragen in deze volgorde. Gebruik ik het betrokken onderdeel, en zo ja, in welke versie? Is dat onderdeel bereikbaar van buitenaf of draait het afgeschermd? En wie kan het bijwerken, binnen welke termijn? Komt u bij de eerste vraag al tot "wij gebruiken dit niet", dan bent u klaar. Komt u er niet uit, dan is dat geen reden tot onrust maar een opdracht voor uw IT-partner. De meeste berichten zijn voor de meeste bedrijven niet dringend; het gevaar zit in de enkele die dat wél zijn en die niemand heeft gelezen.
