Node.js Merilis Patch Darurat untuk Celah RCE, Cek Versi Anda Sekarang

Apa yang Terjadi pada 21 Oktober 2026

Node.js merilis pembaruan keamanan untuk tiga jalur versi aktif: 22.x, 24.x, dan 26.x. Total ada 10 kerentanan yang ditambal, dengan empat di antaranya berkategori High.

Yang paling serius adalah CVE-2026-111497, sebuah celah pada dekoder Brotli yang memungkinkan penulisan di luar batas memori (out-of-bounds write). Dalam kondisi tertentu, celah ini dapat dieksploitasi untuk menjalankan kode berbahaya dari jarak jauh atau remote code execution (RCE).

Bagi pemilik toko online, pengembang web, atau siapa pun yang menjalankan layanan berbasis Node.js, ini bukan peringatan yang bisa diabaikan. Brotli adalah algoritma kompresi yang digunakan secara luas di internet. Aplikasi Anda tidak perlu secara eksplisit memanggil fungsi Brotli untuk terpapar. Cukup dengan memproses respons HTTP yang dikompresi dengan Brotli, celah ini sudah berada dalam jangkauan.

Versi yang Perlu Diperbarui

Perbaikan tersedia dalam rilis berikut:

Jika sistem Anda masih berjalan di Node.js 20.x atau versi yang lebih lama, tidak ada tambalan yang tersedia. Node.js 20.x sudah mencapai End-of-Life sejak 30 April 2026, dan proyek Node.js tidak lagi menerbitkan perbaikan keamanan untuk jalur tersebut. Satu-satunya jalan adalah melakukan upgrade ke versi yang masih didukung.

Tiga Kerentanan High Lainnya

Selain celah Brotli, ada tiga kerentanan High yang turut diperbaiki.

CVE-2026-105482 — Fungsi dns.resolve memotong nama host yang mengandung karakter NUL. Dalam skenario tertentu, pemotongan ini dapat dimanfaatkan untuk melewati validasi yang seharusnya dilakukan.

CVE-2026-105483 — Pemeriksaan hostname pada sertifikat TLS dapat dilewati jika alamat IP ditulis menggunakan digit fullwidth. Ini adalah masalah validasi input yang membuka celah pada lapisan keamanan koneksi.

CVE-2026-106069 — Pemeriksaan hostname TLS juga dapat dilewati ketika nama host secara longgar ter-resolve ke sebuah alamat IP. Dua celah TLS ini menekankan pentingnya tidak mengandalkan validasi nama host secara longgar di lapisan aplikasi.

Di Mana Saja Node.js Bersembunyi

Anggapan bahwa Node.js hanya hidup di server backend adalah keliru. Node.js hadir di beberapa tempat yang sering luput dari inventarisasi keamanan.

Container dan image Docker. Jika Anda menjalankan aplikasi di container, versi Node.js di dalam image tersebut perlu diperiksa. Memperbarui Node.js di host tidak otomatis memperbarui image yang sudah dibangun sebelumnya.

Toolchain frontend. Alat build dan pengembangan frontend sering kali berjalan di atas Node.js. Versi yang usang di laptop developer tetap merupakan permukaan serangan, terutama jika mesin tersebut memiliki akses ke repositori kode atau kredensial deployment.

Command-line tool dari npm. Beberapa alat CLI modern, termasuk agen AI berbasis terminal, menggunakan Node.js sebagai runtime. Jika Anda menginstal alat semacam ini secara global, versi Node.js di mesin Anda ikut menentukan.

Langkah Cek dalam 30 Detik

Buka terminal di server, container, atau komputer lokal Anda, lalu jalankan perintah berikut:

node -v

Bandingkan hasilnya dengan tabel di atas. Jika versi yang muncul lebih rendah dari 22.23.4, 24.22.1, atau 26.12.1, segera lakukan pembaruan.

Untuk container, periksa juga versi Node.js di dalam image yang sedang berjalan. Jika Anda menggunakan platform deployment seperti Vercel atau layanan serupa, redeploy mungkin diperlukan agar image dengan versi baru benar-benar terpakai.

Yang Tidak Bisa Ditambal

Node.js 20.x sudah tidak menerima pembaruan keamanan sejak April 2026. Jika infrastruktur Anda masih bergantung pada versi ini, prioritaskan migrasi. Menunda upgrade berarti menerima risiko yang tidak lagi memiliki jalur perbaikan resmi.

Selain itu, perhatikan juga bahwa lingkungan yang menggunakan Node.js dari paket distribusi Linux mungkin menautkan pustaka Brotli sistem secara dinamis. Dalam kasus seperti ini, memeriksa versi Node.js saja belum cukup untuk memastikan perbaikan sudah aktif. Periksa juga pembaruan paket dari distribusi Anda.