← Alle artikelen

Brotli-lek: eerst Node.js, dan .NET buiten de cyclus (25-10-2026)

Gepubliceerd op 27 oktober 2026 · 7 min lezen · CyberNovaLabs.io

Een Brotli-lek leidde in vier dagen tot twee losse patches: eerst bij Node.js, daarna bij Microsoft. De fout zit in geen van beide, maar in een Google-bibliotheek die ze allebei meeleveren. Voor het mkb is de nuttige vraag niet "gebruiken wij Node.js?", maar "wat zit er in de software die ons bedrijf laat draaien, en wie houdt die bij?".

Kort

Op 21 oktober 2026 bracht het Node.js-project een beveiligingsrelease uit met 11 CVE's, waarvan vier met een hoge ernst^[1]. Een daarvan is het Brotli-lek CVE-2026-111497: misvormde gecomprimeerde invoer schrijft voorbij het einde van een interne buffer van acht bytes, wat kan leiden tot een crash, het uitlekken van procesgeheugen of het uitvoeren van code op afstand^[1]. Op 25 oktober bracht Microsoft buiten de normale cyclus een .NET-update uit voor dezelfde CVE^[2]. De fout zit niet in Node.js en niet in .NET, maar in de Brotli-decoder van Google die beide meeleveren.

Wat er gebeurde, op een rij

Vier data, vier partijen, één bug. Dit is de tijdlijn die u bij de hand wilt hebben voordat u uw IT-leverancier belt.

Op 26 oktober was bij Rapid7 geen misbruik in het wild bekend en stond de CVE niet in de KEV-catalogus van CISA^[4]. Dat is rust, geen vrijstelling: in dezelfde weken gingen de kritieke PHP-lekken in enkele dagen van publicatie naar misbruik op grote schaal.

Waarom één bug drie adviezen oplevert die niet op elkaar lijken

Kijk naar de koppen. CERT-FR zette het onder "Node"^[3]. Microsoft publiceerde het onder ".NET"^[2]. Het Nederlandse NCSC schreef over de "Brotli-decoder van Google"^[5]. Drie ingangen, drie woordenschatten, één fout.

Het gevolg is heel praktisch. Houdt uw monitoring alleen de naam van uw leverancier bij, dan hebt u één advies van de drie gezien. En antwoordde uw leverancier "wij doen hier niets met Node.js", dan antwoordde die op een andere vraag: het ging om een bibliotheek, niet om een taal. De getroffen upstream Brotli-versies zijn 1.0.3 vóór 1.0.10, 1.1.0 vóór 1.1.1 en 1.2.0 vóór 1.2.1^[4] — dát nummer zoekt u in een inventaris, niet de productnaam.

Hetzelfde mechanisme zagen we bij de externe toegang van uw IT-leverancier: het onderdeel dat u blootstelt, is bijna nooit het onderdeel dat u hebt gekocht.

Bent u echt blootgesteld? De toets is scherp

Op dit punt is de analyse van Rapid7 nuttiger dan het algemene alarm. De aanwezigheid van een getroffen decoder maakt u niet automatisch blootgesteld: de toepassing moet daadwerkelijk Brotli-data ontleden die van een onbetrouwbare partij komt^[4]. Veel systemen leveren de bibliotheek mee en verwerken nooit gecomprimeerde invoer van buiten.

Drie vragen beslissen het, en ze zijn voor wie uw toepassing heeft gebouwd of onderhoudt:

1. Pakt onze toepassing Brotli uit die een gebruiker, een klant of een externe koppeling aanlevert? Is het antwoord een aantoonbaar nee, dan gaat de urgentie een trap omlaag.
2. Welke exacte versies van Node.js en .NET draaien vandaag in productie? Niet de versie in de repository, maar die op de server die antwoordt.
3. Welke andere diensten accepteren gecomprimeerde invoer? Een uploadformulier, een publieke API, een webhook: díe maken van een kwetsbare bibliotheek een echte blootstelling.

Een eerlijk antwoord op die drie is meer waard dan een groen dashboard. En een ontbrekend antwoord is zelf de uitkomst: het betekent dat niemand de inventaris bijhoudt.

"Gepatcht" is een versienummer, geen datum

Het leerzaamste detail van de week zit verstopt in de Microsoft-update van 25 oktober. Daarin zitten twee opnieuw uitgebrachte fixes, CVE-2026-70197 en CVE-2026-102870, omdat de release van 13 oktober ze niet volledig had opgelost^[2].

Met andere woorden: "we hebben de oktober-updates gedaan" bewijst niets. Een omgeving kan de patch van 13 oktober hebben binnengehaald, zichzelf als bijgewerkt rapporteren en toch op twee van de vier fouten kwetsbaar blijven. De enige uitspraak die telt, is een versienummer naast de lijst van de leverancier. Vraag het schriftelijk, met de datum van de meting.

Wordt het een incident, dan hangt uw aanspreekpunt van het land af

CyberNovaLabs.io werkt in Nederland, België, Frankrijk en Luxemburg, en juist daar wordt het ingewikkeld. Code-uitvoering op afstand op een applicatieserver is geen technisch onderwerp meer, maar een meldingsonderwerp.

• Nederland: het NCSC, dat op 23 oktober opriep te patchen^[5], met de RDI als toezichthouder onder de Cyberbeveiligingswet.
• België: het Centrum voor Cybersecurity België (CCB) is de nationale autoriteit en het aanspreekpunt voor entiteiten die onder de NIS2-wet vallen.
• Frankrijk: ANSSI, waarvan CERT-FR het advies van 22 oktober uitbracht^[3].
• Luxemburg: de ILR als toezichthouder, met CIRCL als responseteam.

Termijnen en toepassingsgebied hangen af van uw status als entiteit, en die status laat zich niet raden: laat hem vaststellen vóórdat u hem nodig hebt. Bouwt u zelf software of werkt u in systemen van klanten, dan behandelt onze gids over NIS2 voor softwarebedrijven en IT-dienstverleners in Nederland de vraag of u eronder valt. Wij geven geen juridisch advies: de nationale wet en uw eigen toezichthouder blijven maatgevend.

Bij CyberNovaLabs.io

Deze week legt een gewone mkb-zwakte bloot: niemand kan binnen een minuut zeggen wat er in de software zit die het bedrijf laat draaien. Wij bouwen en onderhouden bedrijfsapplicaties op maat, met de componentinventaris en de updateprocedure vanaf dag één op papier — zie onze pagina software op maat. Bent u zelf IT-dienstverlener of MSP en moet u dit gesprek bij uw eigen klanten voeren, dan vullen wij ook op dit terrein verkoopagenda's: zie B2B-afspraken laten maken voor IT-dienstverleners en MSP's. Wilt u er vrijblijvend over praten, stuur ons twee regels: u krijgt scherpe vragen terug, geen standaardaanbieding.

Bronnen

1. Node.js — Wednesday, October 21, 2026 Security Releases (projet Node.js, 21/10/2026)
2. .NET October 2026 out-of-band security updates (Microsoft, dotnet/announcements #496, 25/10/2026)
3. CERTFR-2026-AVI-1367 — Multiples vulnérabilités dans Node (CERT-FR / ANSSI, 22/10/2026)
4. CVE-2026-111497: Critical out-of-bounds write in the Node.js Brotli decoder (Rapid7, 26/10/2026)
5. NCSC adviseert om lek in Google Brotli-decoder meteen te patchen (Security.NL, 23/10/2026)

Lees ook