Terwijl iedereen nog bezig was met het PHP-lek, bracht Node.js op 21 oktober zelf een belangrijke beveiligingsupdate uit. Het lek heet Node2Shell en laat een aanvaller op afstand code uitvoeren op de server. Het NCSC adviseert om de update meteen te installeren. Node.js zit achter veel moderne websites, webshops en klantportalen, vaak zonder dat de eigenaar het weet.
Stel uw websitebouwer of softwareleverancier deze week één vraag: draait iets van ons op Node.js, en is dat bijgewerkt naar versie 22.23.4, 24.22.1 of 26.12.1 of nieuwer? Draait het op een oudere versie zoals Node.js 20, dan komt er geen update meer en moet het naar een nieuwere versie. Een klassieke WordPress-site draait op PHP en valt hier niet onder.
Het probleem zit niet in uw website zelf, maar in een stukje software dat Node.js standaard meelevert.
Node.js is software waarmee websites en webapplicaties op de server draaien. Moderne websites, webshops, boekingssystemen, klantportalen en veel interne tools zijn ermee gebouwd. U merkt er als bezoeker niets van, en daardoor weten veel ondernemers niet dat ze het gebruiken.
Node.js levert een eigen versie mee van Brotli, een onderdeel van Google dat webpagina's kleiner maakt voordat ze worden verstuurd. In het uitpakken daarvan zat een fout. Met speciaal gemaakte gegevens kan een aanvaller daardoor code uitvoeren op de server, de server laten vastlopen of gegevens stelen.
Het NCSC waarschuwt dat het lek kan leiden tot verlies van gegevens en verstoring van de dienstverlening, en adviseert de beschikbare update nu te installeren. Volgens beveiligingsbedrijf Aikido raakt het iedereen die Node.js of Bun draait en daarin Brotli-gegevens uitpakt die van buitenaf kunnen komen.
Veel beheerders en websitebouwers zijn sinds 21 oktober vooral met PHP bezig. Node.js draait vaak naast PHP, in een aparte container of bij een andere leverancier. Juist die systemen schieten er nu makkelijk bij in.
Maak een kort lijstje van uw website, webshop, klantportaal en de maatwerktools die u gebruikt, met per onderdeel wie het bouwt of beheert. Vraag elke partij of er Node.js in zit. Dat lijstje helpt ook bij het volgende lek.
De oplossing is Node.js bijwerken naar 22.23.4, 24.22.1 of 26.12.1 of nieuwer. Draait de website in een container, dan moet die opnieuw worden gebouwd, anders blijft de oude versie draaien. Een server die nog op een oude Node.js-versie zonder ondersteuning draait, moet naar een nieuwere versie.
Spreek met uw websitebouwer af wie updates installeert en hoe snel. King Kong Web bouwt websites en webapplicaties met het onderhoud erbij, en SOSO Hosting houdt de hosting bijgewerkt. Met onze Security Check brengen wij in kaart welke systemen u van buitenaf zichtbaar heeft.
Op uw eigen laptop of telefoon hoeft u niets te doen voor dit lek, tenzij u zelf software ontwikkelt met Node.js. Websites die u alleen bezoekt, zijn het probleem van de eigenaar. Het gaat om servers die u zelf laat draaien.
Dat ziet u niet aan de buitenkant. Vraag het uw websitebouwer of hostingpartij. Moderne websites, webshops, boekingssystemen en klantportalen draaien er vaak op, net als veel interne tools. Een klassieke WordPress-site draait op PHP en niet op Node.js.
Nee. Het is een ander lek in andere software, maar het gevolg lijkt erop: een aanvaller kan op afstand code uitvoeren op de server. Daarom adviseert het NCSC ook nu om meteen bij te werken.
Dat hangt af van wie de software onderhoudt. Bij volledig beheerde diensten werkt de leverancier Node.js meestal zelf bij. Draait uw website in een eigen server of container, dan moet uw bouwer of beheerder dat doen en de container opnieuw bouwen. Vraag het na, ga er niet van uit.
Microsoft heeft een kritiek lek in Exchange Online verholpen, de maildienst van Microsoft 365. Klanten hoeven niets te doen. Gebruikt u Microsoft 365, dan is dit een goed moment om te controleren of MFA voor iedereen aan staat. Dat doen wij standaard in ons Microsoft 365-beheer.
Van het inpakprogramma 7-Zip is versie 26.05 verschenen, met meerdere beveiligingsfixes. 7-Zip heeft geen automatische update, dus op veel computers blijft een oude versie staan. Laat het via apparaatbeheer bijwerken, of verwijder het waar niemand het gebruikt.
Het gerechtshof Den Haag oordeelde dat een verzekeraar het losgeld na een ransomware-aanval uit 2021 moet vergoeden. Bij dat bedrijf waren ook de back-ups geraakt. Een verzekering helpt achteraf, maar een back-up die aanvallers niet kunnen bereiken voorkomt dat u voor de keuze komt te staan.
Bronnen: Security.NL over het advies van het NCSC, 23 oktober 2026; Node.js, October 2026 Security Releases, 21 oktober 2026; Security.NL over Exchange Online, 23 oktober 2026, 7-Zip, 22 oktober 2026, en de uitspraak over losgeld, 21 oktober 2026. De uitleg en de maatregelen hierboven zijn van ons.
Wij zoeken het voor u uit: welke systemen u van buitenaf zichtbaar heeft, op welke versies ze draaien en wat er bijgewerkt moet worden. U krijgt een duidelijk overzicht, zonder verplichtingen.
Klaar om te versnellen? Vrijblijvend adviesgesprek.
Afspraak plannenDe Darkweb Scan is gratis, kost u twee velden en levert een rapport op dat u ook zonder ons kunt gebruiken.
Vink aan wat u wilt. U ziet meteen wat het per maand wordt voor uw kantoor.
Stap 1 van 3: wat heeft u nodig?