Ne oldu? Node.js, 21 Ekim 2026’da üç bakım hattı için güvenlik sürümleri yayımladı ve toplam 10 açığı kapattı. En ciddisi, gömülü Brotli çözücüsündeki sınır-dışı yazma hatası (CVE-2026-111497): saldırganın gönderdiği sıkıştırılmış veriyi açan uygulamalarda uzaktan kod çalıştırmaya kadar gidebiliyor. Kontrol tarihi: 25 Ekim 2026 (TR).
Hemen güncellenecek sürümler
Yamalı sürümler: v26.12.1, v24.22.1 ve v22.23.4. Kendi sürümünü node -v ile kontrol et. Ömrünü doldurmuş (EOL) sürümler her zaman etkilenir; desteklenen bir hatta geç.
Baş açık: Brotli çözücü (CVE-2026-111497)
- Önem: Yüksek. Node’un kendi danışma belgesi “High” diyor; bazı satıcı özetleri CVSS 9.8 veriyor.
- Kök neden: Brotli çözücü, geçersiz bir blok geçişini kalıcı bir biçim hatası olarak değil, “daha fazla girdi lazım” gibi geçici bir durum olarak işaretliyordu. Akış çözücü bu yüzden gelen baytları yalnızca 8 baytlık bir iç tampona eklemeye devam ediyor ve belleği taşırıyordu.
- Kimi etkiliyor: Güvenilmeyen Brotli verisini
node:zlibile açan her uygulama — ister tek seferlik (brotliDecompress) ister akış (createBrotliDecompress) API’si olsun. Sonuç çökme, bellek sızıntısı veya uzaktan kod çalıştırma olabilir. - Açığı OpenAI Codex Security ekibi (Khai Tran, Sylvie Mayer) bildirdi. Danışma belgesinde kamuya açık bir istismar/PoC yok.
Diğer “Yüksek” açıklar
- CVE-2026-105482:
dns.resolve*()vedns.reverse(), içinde NUL baytı olan ana makine adlarını sessizce kısaltıyor. - CVE-2026-105483 ve CVE-2026-106069: TLS ana makine doğrulamasını atlatan iki açık. Olağandışı IP biçimleri (tam genişlikli rakamlar ör.
１２７.0.0.1, veya başında sıfır olan0127.0.0.1) doğrulamayı yanıltıyor. - Geri kalan orta/düşük önemdekiler arasında keep-alive yanıt işleme hatası (CVE-2026-105481) ve İzin Modeli’ni (
fs.realpathSync) atlatan CVE-2026-106073 var.
Ek not: eMudhra bağlantısı
Bu sürüm ayrıca eMudhra ara sertifika uzlaşması nedeniyle gömülü CA sertifika deposunu (ca-cert) güncelliyor — Java tarafında da gördüğümüz aynı sertifika sorunu (Oracle acil yaması ve CVE-2026-91403). Yani birden çok çalışma ortamını ayrı ayrı güncellemek gerekiyor; birinin kapatması diğerini kapatmaz.
Bugün ne yapmalısın?
- v26.12.1 / v24.22.1 / v22.23.4 veya üstüne hemen geç.
- Hemen geçemiyorsan, güvenilmeyen Brotli verisini ana süreçte açma; çözme işlemini ayrı bir süreç veya worker içinde yalıt.
- Üretimde
node -vçıktısını envanterinle karşılaştır; konteyner imajlarını ve CI tabanlı imajları unutma.
Kaynaklar: Node.js Ekim 2026 güvenlik sürümleri, Astra güvenlik danışması, TuxCare analizi, Singapur CSA uyarısı, Qualys blog. Kontrol tarihi: 25 Ekim 2026.