Meny
Sök
SV

Säkerhetsuppdatering av webperf_core

Skapad , uppdaterad 2 min läsning

Ett snäckskal, men hur det har med ett tekniskt skal at göra är oklart

Vi har täppt till ett allvarligt säkerhetshål i verktyget som granskar webbplatserna. Läser du bara dina resultat på webperf.se behöver du inte göra något. Kör du webperf_core själv behöver du uppdatera.

När webperf_core testar en webbplats hämtar verktyget sidor från en server som varken du eller vi styr över. Därför måste verktyget tåla att en webbplats försöker lura verktyget.

Den 21 oktober 2026 meddelade Node.js, en av programvarorna som webperf_core bygger på, att de rättat ett fel i hur komprimerade svar från webbservrar packas upp. Komprimeringen heter Brotli och används av väldigt många webbplatser för att sidor ska laddas snabbare. En webbplats som skickar ett särskilt utformat svar kan i värsta fall få datorn som kör testet att köra kod som webbplatsen bestämt. Felet har fått namn som Node2Shell och HTTP2Shell, och har beteckningen CVE-2026-111497. Vi känner inte till att någon har utnyttjat det mot webperf_core.

I webperf_core 2026.10.2, som släpptes den 24 oktober, har Docker-versionen Node.js 24.22.1, där felet är rättat. Tidigare versioner hade 24.18.0. Installerar du webperf_core direkt på en dator stoppar installationen nu om Node.js är för gammal, i stället för att bara varna.

Behöver du göra något?

Läser du dina resultat på webperf.se behöver du inte göra något.

Kör du Docker-versionen hämtar du den senaste versionen, och kontrollerar Node.js:

docker pull webperfse/webperf-core:latest
docker run --rm --entrypoint node webperfse/webperf-core:latest --version

Det andra kommandot ska svara v24.22.1 eller ett högre nummer.

Har du byggt en egen image från vår, eller använder en fast version som v2026.10.1, räcker det inte att hämta den senaste. Byt till v2026.10.2 eller senare och bygg om din image.

Har du installerat webperf_core direkt på en dator behöver du Node.js 24.22.1 eller senare. Installerade du före den 24 oktober stoppas du inte automatiskt, eftersom kontrollen bara görs när du installerar. Kontrollera därför med node --version. Samma fel finns i Python-paketet Brotli. webperf_core behöver inte paketet, men om det finns installerat av någon annan anledning behöver du version 1.2.1 eller senare.

Uppdateringen innehåller också nyare webbläsare, eftersom sitespeed.io följer med i version 42.10.0. Mätvärden kan därför flytta sig lite jämfört med tidigare körningar.

Mer om felet finns i säkerhetsmeddelandet från Node.js, och alla ändringar i versionsinformationen för 2026.10.2. Frågor tar vi gärna i Slack.