Kunstig intelligens fandt to nye sikkerhedshuller i Node.js og React – det bør danske virksomheder lære af

Et automatisk system drevet af kunstig intelligens har opdaget to hidtil ukendte sikkerhedshuller i Node.js (JavaScript, der kører på serveren) og React (et udbredt bibliotek til brugergrænseflader). Det skriver Winfunc i et blogindlæg fra 3. februar 2026. Ifølge Winfunc er fundene gjort gennem en i høj grad automatiseret proces; graden af “fuld autonomi” er Winfuncs egen beskrivelse.

Begge sårbarheder er registreret med CVE-numre (CVE = officielt ID for et sikkerhedshul) og er blevet rettet via opdateringer fra leverandørerne.

Kort fortalt

• Et system med kunstig intelligens fandt to “zero-day”-sårbarheder (hidtil ukendte sikkerhedshuller) i Node.js og React
• Node.js (CVE-2026-21636): kan omgå en sikkerhedsmodel via Unix Domain Sockets (lokale forbindelser mellem programmer, fx Docker eller databaser)
• React Server Components (CVE-2026-23864): kan bruges til DoS (Denial-of-Service = få serveren til at gå ned eller blive meget langsom); CVSS 7.5 (CVSS = standardskala for alvorlighed)
• Rettelser er udgivet, og der er pr. 17. februar 2026 ingen offentligt bekræftede tegn på aktiv udnyttelse

Overblik

Hvad betyder det for danske virksomheder?

Budskabet er mindre “nu går alt galt” og mere “tempoet stiger”. Når systemer med kunstig intelligens kan finde fejl hurtigere, kan både forsvarere og angribere i princippet forkorte tiden fra en fejl findes, til den udnyttes. I praksis er udfordringen i mange organisationer ikke at forstå detaljen i sårbarheden – men at sikre, at opdateringer faktisk bliver rullet ud hurtigt, også hos leverandører.

Det kan du gøre nu

1. Få bekræftet om I (eller jeres leverandører) bruger Node.js og/eller React i forretningskritiske løsninger.
2. Bed om dokumentation for opdatering til de rettede versioner (eller nyere).
3. Spørg specifikt om brug af React Server Components, hvis I kører nyere React/Next.js-løsninger.
4. Aftal en fast “tidsgrænse” for sikkerhedsopdateringer med leverandører (fx inden for få dage ved kritiske rettelser).
5. Sørg for et hurtigt internt beredskab: hvem godkender, tester og udruller opdateringer?
6. Skru midlertidigt op for overvågning af nedbrud og unormal trafik mod webtjenester, indtil I er sikre på, at alt er opdateret.

Kilder

• Winfunc: Fund af sårbarheder i Node.js og React med kunstig intelligens
• Node.js: Security Releases (13. januar 2026)
• GitHub: Sikkerhedsadvisory for React Server Components (CVE-2026-23864)
• NVD (sårbarhedsdatabase): CVE-2026-21636