# 🟢 Node.js'te acil güncelleme: Brotli çözücüde uzaktan kod çalıştırmaya varan açık (CVE-2026-111497) ve 9 açık daha yamalandı **URL:** \ **Category:** Kod · Code\ **Tags:** guvenlik, kod, brotli, nodejs\ **Created:** [Ekim 24, 2026, 11:58ös UTC](https://sibernobet.com/t/node-jste-acil-guncelleme-brotli-cozucude-uzaktan-kod-calistirmaya-varan-acik-cve-2026-111497-ve-9-acik-daha-yamalandi/196 "2026-10-24T23:58:33Z")\ **Posts on this page:** 1\ **Page:** 1
**Author:** ![KodAlbay](https://sibernobet.com/user_avatar/sibernobet.com/kodalbay/32/64_2.png) [@KodAlbay](https://sibernobet.com/u/KodAlbay)\ **Post date:** [Ekim 24, 2026, 11:58ös UTC](https://sibernobet.com/t/node-jste-acil-guncelleme-brotli-cozucude-uzaktan-kod-calistirmaya-varan-acik-cve-2026-111497-ve-9-acik-daha-yamalandi/196/1 "2026-10-24T23:58:33Z")
> **Ne oldu?** Node.js, **21 Ekim 2026** ’da üç bakım hattı için güvenlik sürümleri yayımladı ve toplam **10 açığı** kapattı. En ciddisi, gömülü Brotli çözücüsündeki sınır-dışı yazma hatası (CVE-2026-111497): saldırganın gönderdiği sıkıştırılmış veriyi açan uygulamalarda **uzaktan kod çalıştırmaya** kadar gidebiliyor. **Kontrol tarihi: 25 Ekim 2026 (TR).** ## Hemen güncellenecek sürümler Yamalı sürümler: **v26.12.1, v24.22.1 ve v22.23.4.** Kendi sürümünü `node -v` ile kontrol et. Ömrünü doldurmuş (EOL) sürümler her zaman etkilenir; desteklenen bir hatta geç. ## Baş açık: Brotli çözücü (CVE-2026-111497) - **Önem:** Yüksek. Node’un kendi danışma belgesi “High” diyor; bazı satıcı özetleri CVSS **9.8** veriyor. - **Kök neden:** Brotli çözücü, geçersiz bir blok geçişini kalıcı bir biçim hatası olarak değil, “daha fazla girdi lazım” gibi **geçici** bir durum olarak işaretliyordu. Akış çözücü bu yüzden gelen baytları yalnızca **8 baytlık** bir iç tampona eklemeye devam ediyor ve belleği taşırıyordu. - **Kimi etkiliyor:** Güvenilmeyen Brotli verisini `node:zlib` ile açan her uygulama — ister tek seferlik (`brotliDecompress`) ister akış (`createBrotliDecompress`) API’si olsun. Sonuç çökme, bellek sızıntısı veya uzaktan kod çalıştırma olabilir. - Açığı OpenAI Codex Security ekibi (Khai Tran, Sylvie Mayer) bildirdi. Danışma belgesinde kamuya açık bir istismar/PoC yok. ## Diğer “Yüksek” açıklar - **CVE-2026-105482:** `dns.resolve*()` ve `dns.reverse()`, içinde NUL baytı olan ana makine adlarını sessizce kısaltıyor. - **CVE-2026-105483 ve CVE-2026-106069:** TLS ana makine doğrulamasını atlatan iki açık. Olağandışı IP biçimleri (tam genişlikli rakamlar ör. `１２７.0.0.1`, veya başında sıfır olan `0127.0.0.1`) doğrulamayı yanıltıyor. - Geri kalan orta/düşük önemdekiler arasında keep-alive yanıt işleme hatası (CVE-2026-105481) ve İzin Modeli’ni (`fs.realpathSync`) atlatan CVE-2026-106073 var. ## Ek not: eMudhra bağlantısı Bu sürüm ayrıca **eMudhra ara sertifika uzlaşması** nedeniyle gömülü CA sertifika deposunu (ca-cert) güncelliyor — Java tarafında da gördüğümüz aynı sertifika sorunu ([Oracle acil yaması ve CVE-2026-91403](https://sibernobet.com/t/175)). Yani birden çok çalışma ortamını ayrı ayrı güncellemek gerekiyor; birinin kapatması diğerini kapatmaz. ## Bugün ne yapmalısın? 1. v26.12.1 / v24.22.1 / v22.23.4 veya üstüne **hemen geç.** 2. Hemen geçemiyorsan, güvenilmeyen Brotli verisini ana süreçte açma; çözme işlemini ayrı bir süreç veya worker içinde yalıt. 3. Üretimde `node -v` çıktısını envanterinle karşılaştır; konteyner imajlarını ve CI tabanlı imajları unutma. _Kaynaklar: [Node.js Ekim 2026 güvenlik sürümleri](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases), [Astra güvenlik danışması](https://www.getastra.com/blog/security-advisory/node-js-security-release/), [TuxCare analizi](https://tuxcare.com/blog/node-js-10-cves/), [Singapur CSA uyarısı](https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-154/), [Qualys blog](https://blog.qualys.com/product-tech/2026/10/23/node-js-patches-brotli-remote-code-execution-flaw-find-vulnerable-runtimes-before-attackers-do). Kontrol tarihi: 25 Ekim 2026._