Software: Node.js schließt 10 Lücken, GitHub startet Firewall für npm-Pakete

Die wichtigsten Software-Neuigkeiten dieser Woche haben ein gemeinsames Thema: die Sicherheit von Paketen und Zugangsschlüsseln. Node.js hat zehn Schwachstellen geschlossen, GitHub stellt einen Filter für schädliche npm-Pakete und selbst ablaufende Tokens vor. Das ist relevant, wenn Ihr Unternehmen eine Webanwendung, einen Shop oder interne Software betreibt.

Node.js: zehn Fixes, einer davon kritisch

Das Node.js-Projekt hat am 21. Oktober die Sicherheitsreleases 22.23.4, 24.22.1 und 26.12.1 veröffentlicht. Behoben wurden zehn Schwachstellen: vier mit hohem, drei mit mittlerem und drei mit niedrigem Schweregrad.

Die gravierendste (CVE-2026-111497) steckt im eingebauten Brotli-Decoder. Manipulierte komprimierte Daten, die node:zlib verarbeitet, können den Prozess abstürzen lassen, Speicherinhalte preisgeben oder das Ausführen fremden Codes ermöglichen. Die drei weiteren schweren Lücken betreffen die Prüfung von Domains und IP-Adressen: DNS-Funktionen kürzen Namen an einem NUL-Byte, wodurch sich Domain-Allowlists umgehen lassen, und die TLS-Prüfung liest bestimmte IP-Schreibweisen falsch, etwa mit führender Null.

Die Releases aktualisieren zudem die mitgelieferten Bibliotheken c-ares, OpenSSL, SQLite und Undici sowie den CA-Zertifikatsspeicher, weil ein Zwischenzertifikat des Anbieters eMudhra kompromittiert wurde. Versionen ohne Support erhalten keine Fixes.

GitHub: Firewall für npm-Pakete

GitHub hat am 20. Oktober die Package Firewall als Public Preview gestartet. Sie sitzt zwischen Ihren Rechnern, CI/CD-Servern oder KI-Coding-Agenten und der öffentlichen Paket-Registry. Bei jeder Installation prüft sie, ob ein Paket in der GitHub Advisory Database als schädlich oder verwundbar gemeldet ist und ob es Hinweise auf einen Supply-Chain-Angriff gibt. Administratoren können eine Wartezeit festlegen, damit frisch veröffentlichte Versionen nicht sofort installiert werden. Wird ein Paket irrtümlich blockiert, lässt sich eine Ausnahme beantragen.

Vorerst unterstützt die Firewall nur npm und steht nur Kunden von GitHub Enterprise Cloud zur Verfügung. In der Preview ist sie kostenlos, nach dem offiziellen Start wird sie nach Verbrauch abgerechnet, ähnlich wie GitHub Actions.

GitHub: weniger Schlüssel ohne Ablaufdatum

Seit dem 21. Oktober kann die GitHub CLI (ab Version 2.103.0) ein Zugangstoken nutzen, das nach wenigen Stunden abläuft und sich selbst erneuert. Aktiviert wird das mit gh auth login --expiring oder dauerhaft mit gh config set expiring_credentials enabled. Gelangt ein solches Token in falsche Hände, ist es nach Stunden wertlos statt unbegrenzt gültig. GitHub plant, dies später zum Standard zu machen.

Seit dem 23. Oktober ist außerdem die Installation von GitHub Apps auf Enterprise-Ebene allgemein verfügbar. Mit neuen Berechtigungen für Repository-Richtlinien, Zwei-Faktor-Vorgaben und IP-Allowlists können Apps klassische Personal Access Tokens in einem größeren Teil der Automatisierung ersetzen.

Kleiner, aber praktisch: Seit dem 20. Oktober lassen sich alle klassischen Branch-Protection-Regeln eines Repositorys in einem Schritt in Rulesets umwandeln, und Dependabot unterstützt npm 12, pnpm 11 und 12 sowie Bun 1.4.

Was das für Ihr Unternehmen bedeutet

1. Node.js diese Woche aktualisieren. Läuft Ihre Website, Ihr Shop oder Ihre API auf Node.js, wechseln Sie auf 22.23.4, 24.22.1 oder 26.12.1 und bauen Sie Docker-Images und Pakete mit eingebettetem Node.js neu. Nutzen Sie eine Version ohne Support, planen Sie den Umstieg.
2. Pakete nicht ungeprüft installieren. Legen Sie fest, dass neue Abhängigkeitsversionen einige Tage warten und Versionen per Lockfile fixiert werden. In Enterprise Cloud übernimmt das die Package Firewall, in kleineren Tarifen verankern Sie die Regel in Werkzeugen und Teamprozessen. Das gehört auch zu den technischen Maßnahmen, die die DSGVO für Systeme mit personenbezogenen Daten verlangt.
3. Dauerhafte Tokens ersetzen. Erfassen Sie, wo persönliche Tokens ohne Ablaufdatum im Einsatz sind, und ersetzen Sie sie durch GitHub Apps oder kurzlebige Tokens.

Wenn wir Sicherheit und Wartung Ihrer Software prüfen sollen, sehen Sie sich unsere Leistung Individualsoftware an oder schreiben Sie uns.