GWS logoGWS
NLEN
Terug naar blog
CybersecurityGepubliceerd 24 oktober 20265 minuten leestijd

Kritiek Brotli-lek: wat bedrijven met Node.js, Bun en Envoy moeten controleren

OpenAI meldde een ernstig lek in de Brotli-decoder. Lees wanneer je webapplicatie risico loopt, welke updates beschikbaar zijn en hoe je de patch controleert.

Omar Geerman

OpenAI heeft een ernstige kwetsbaarheid gemeld in Brotli, een bibliotheek die onder meer in Node.js, Bun en Envoy wordt meegeleverd. Het lek, CVE-2026-111497, kan leiden tot een crash, het uitlekken van procesgeheugen of het uitvoeren van code van een aanvaller. Node.js vermeldt OpenAI Codex Security als melder. Voor bedrijven met een webapplicatie is dit aanleiding om de gebruikte software en beschikbare patches te controleren.

Wat doet Brotli?

Brotli maakt gegevens kleiner, zodat er minder over het netwerk hoeft te worden verstuurd. Aan de ontvangende kant pakt een decoder die gegevens weer uit. Juist in dat uitpakken zit de fout. De kwetsbaarheid raakt dus software die een getroffen decoder gebruikt om gegevens te verwerken waar een buitenstaander invloed op heeft.

Wanneer kan een aanvaller het lek bereiken?

Een foutief opgebouwde Brotli-datastroom kan de decoder buiten zijn toegewezen geheugen laten schrijven. Voor misbruik is geen account vereist, maar de toepassing moet de schadelijke gegevens wel met een kwetsbare decoder uitpakken. Het enkele feit dat een server Node.js gebruikt, bewijst nog niet dat zo'n route bereikbaar is.

  • Binnenkomend verkeer: een server of proxy pakt een Brotli-gecomprimeerd verzoek uit dat door een aanvaller is verstuurd.
  • Uitgaand verkeer: een applicatie haalt gegevens op bij een andere server en pakt diens schadelijke Brotli-antwoord uit. Ook achtergrondtaken en API-koppelingen verdienen daarom aandacht.
  • Clientsoftware: een getroffen programma dat gecomprimeerde antwoorden verwerkt, kan eveneens risico lopen. Daaruit volgt niet dat ieder apparaat of iedere browser automatisch kwetsbaar is.

Welke updates zijn beschikbaar?

Op 24 oktober 2026 zijn onderstaande fixes bevestigd. Google beoordeelt het bibliotheeklek als kritiek; Node.js classificeert de impact binnen zijn eigen product als hoog. Controleer voor jouw omgeving ook de actuele melding van de leverancier, vooral als deze een beveiligingsfix in een oudere pakketversie heeft teruggeplaatst.

  • Node.js: 22.23.4, 24.22.1 en 26.12.1 bevatten de fix binnen hun respectieve releaselijnen. Gebruik een ondersteunde, bijgewerkte versie; oudere lijnen zonder ondersteuning vereisen een migratie.
  • Bun: versie 1.4.4 bevat Brotli 1.2.1. Dat is gecontroleerd in de broncode van die releasetag. Werk ook zelfstandig gebouwde uitvoerbare bestanden en containerimages bij.
  • Envoy: de advisory noemt 1.40.0, 1.39.3, 1.38.6, 1.37.8 en 1.36.12 als gepatcht. De beschreven blootstelling geldt voor omgevingen waarin de Brotli-decompressor is ingesteld.
  • Brotli zelf: er zijn beveiligingsreleases voor de lijnen 1.0, 1.1 en 1.2: respectievelijk 1.0.10, 1.1.1 en 1.2.1. Een losse bibliotheekupdate vervangt niet automatisch een ingebouwde kopie in andere software.

Wat betekent dit voor je bedrijfswebsite?

Vraag je beheerder welke software je website, klantenportaal, webshop en koppelingen daadwerkelijk uitvoeren. Neem ook taken mee die achter de schermen draaien. Bij beheerde hosting kan de provider de runtime bijwerken; bij eigen servers en containers ligt dat vaak bij je ontwikkelaar of beheerteam. Een bijgewerkte laptop zegt niets over de versie die productie gebruikt.

Voor Vercel meldt de leverancier dat Node.js-patches worden uitgerold en firewallregels zijn geplaatst. Die regels dekken geen schadelijke antwoorden die een functie bij een andere server ophaalt. Projecten op Node.js 20 moeten naar een ondersteunde lijn en opnieuw worden uitgerold; voor 22 en 24 beheert Vercel de patchversies. Vraag bij andere hostingpartijen om hun eigen bevestiging.

Een praktische checklist voor de patch

  • Inventariseer de runtimes en ingebouwde bibliotheken van alle betrokken diensten, inclusief workers, containers en koppelingen.
  • Controleer waar gegevens van bezoekers of externe servers worden uitgepakt en vergelijk de gebruikte builds met de leveranciersadviezen.
  • Werk de runtime of het leverancierspakket bij. Alleen npm-dependencies vernieuwen hoeft de Brotli-decoder in Node.js niet te vervangen.
  • Bouw images en gebundelde applicaties opnieuw waar nodig, rol de update uit en herstart alle betrokken processen en replica's.
  • Controleer de werkelijk draaiende versie en test onder meer inloggen, formulieren en externe koppelingen. Leg vast wat nog openstaat.

Bespreek met je beheerder hoe je het uitpakken van onbetrouwbare Brotli-gegevens tijdelijk kunt stoppen als direct patchen niet lukt. Dat moet vóór de decoder gebeuren en zowel verzoeken als opgehaalde antwoorden afdekken. Een firewall of het weglaten van 'br' uit een verzoekheader is op zichzelf geen volledige oplossing.

Van melding naar aantoonbaar bijgewerkt

De nuttigste vraag aan je leverancier is concreet: welke diensten zijn gecontroleerd, welke builds draaien nu en wat is na de update getest? Daarmee maak je van een algemeen beveiligingsbericht een uitvoerbare onderhoudstaak. De melding alleen is geen bewijs dat jouw bedrijf is gehackt, maar verdient wel tijdige opvolging.

Bronnen en versiecontrole

Gecontroleerd op 24 oktober 2026 aan de hand van de onderstaande projectadviezen en releasebronnen. Gebruik bij een latere uitvoering de nieuwste leveranciersinformatie; deze versiegrenzen gaan specifiek over CVE-2026-111497.

Hulp nodig met een Brotli- of Node.js-beveiligingsupdate?

Geerman Web Solutions helpt bedrijven uitzoeken welke webapplicaties, koppelingen en servers aandacht nodig hebben. We controleren de gebruikte runtime en hosting, stemmen updates af met je leverancier, werken waar nodig de applicatie of container bij en testen de belangrijkste functies na de uitrol. Neem contact op met je websiteadres en wat je weet over je hosting; dan bepalen we samen een passende volgende stap.