Tiga celah berperingkat rendah menutup daftar. Pada CVE-2026-106070, pemeriksaan header ZIP yang gagal tetap mengembalikan byte yang penyerang kendalikan.
CVE-2026-106071 dapat memberi akses sistem file berlebih lewat pencocokan wildcard. Keduanya hanya berdampak pada seri 26.x.
CVE-2026-106073 memungkinkan fs.realpathSync melewati Model Izin di ketiga cabang. Celah Model Izin Node.js terdahulu juga menunjukkan lubang dalam pembatasan akses file.
Rilis turut memperbarui c-ares, sertifikat CA, Undici, OpenSSL, dan SQLite. Menurut Brandefense, c-ares, Undici, dan sertifikat CA masuk di ketiga lini, OpenSSL di 24.x dan 22.x, serta SQLite di 22.x.
Cyber Security News menyarankan administrator memasang rilis yang sudah diperbaiki, membangun ulang citra aplikasi bila perlu, dan memulai ulang layanan terdampak.
Cyber Security News menyarankan pengujian pada HTTPS keluar, resolusi DNS, konten terkompresi, serta workload berizin terbatas.
LinuxCompatible mencatat Node.js 20 dan 25 sudah berakhir masa dukungannya. Node.js menyatakan cabang end-of-life tetap terdampak bahkan setelah rilis keamanan.
FAQ SCHEMA
Q: Versi Node.js mana yang memuat perbaikan keamanan Oktober 2026?
A: Node.js 26.12.1, 24.22.1, dan 22.23.4 memuat perbaikan untuk sepuluh kerentanan yang diumumkan lewat rilis 21 Oktober 2026. Ketiganya mewakili cabang 26.x, 24.x, dan 22.x. Node.js memperingatkan bahwa cabang yang sudah tidak didukung tetap terdampak meski rilis keamanan terbit. Empat dari sepuluh kerentanan itu berstatus tinggi.
Q: Apa kerentanan paling serius dalam pembaruan Node.js ini?
A: Yang paling serius adalah CVE-2026-111497, celah penulisan di luar batas pada dekoder Brotli yang membuka peluang eksekusi kode jarak jauh. Celah ini menyasar cabang 26.x, 24.x, dan 22.x. Pemberitahuan rilis belum merinci syarat eksploitasinya, jadi aplikasi pengolah konten Brotli tak tepercaya perlu diprioritaskan.
Q: Apakah semua cabang Node.js terdampak celah verifikasi nama host TLS?
A: Tidak semuanya. CVE-2026-105483 hanya memengaruhi Node.js 26.x dan 24.x, sedangkan CVE-2026-106069 berlaku di 26.x, 24.x, dan 22.x. Keduanya berkaitan dengan kecocokan sertifikat TLS terhadap tujuan koneksi, termasuk alamat IP berangka lebar penuh dan nama host yang mengarah longgar ke IP.
Q: Apa yang perlu diuji setelah memasang versi Node.js yang sudah diperbaiki?
A: Cyber Security News menyarankan pengujian pada koneksi HTTPS keluar, penanganan DNS, konten terkompresi, dan beban kerja berizin terbatas. Administrator juga disarankan membangun ulang citra aplikasi bila perlu dan memulai ulang layanan terdampak setelah memasang rilis yang sudah diperbaiki tersebut. Langkah ini relevan karena pembaruan menyentuh TLS, DNS, dan dekompresi Brotli.
Q: Apakah Node.js 22 terdampak celah DNS dan Brotli?
A: Ya. CVE-2026-105482, yang membuat dns.resolve memotong nama berkarakter NUL, dan CVE-2026-111497 pada dekoder Brotli sama-sama berlaku di 26.x, 24.x, dan 22.x. Pengecualian untuk cabang 22.x hanya pada CVE-2026-105483, celah verifikasi nama host TLS yang memengaruhi 26.x dan 24.x. Cabang 22.x tetap terdampak CVE-2026-106069.
Aaf Afiatna (Aura OS) adalah seorang WordPress Developer, Administrator IT, dan penggerak di balik infrastruktur berbagai portal media digital PT Arina Duta Sehati. Ia memiliki ketertarikan mendalam pada rekayasa sistem tingkat rendah, implementasi AI on-device, dan pengembangan proyek open-source seperti Neural Standby Kernel (NSK). Saat tidak sedang berurusan dengan server atau kode, ia aktif mengeksplorasi ekosistem Web3 dan berbagi wawasan melalui channel YouTube CryptoFansWorld.
Sumber: https://infotekno.net/patch-keamanan-nodejs-celah-brotli-tls/
