CISA menambahkan CVE-2026-111497, celah kritis di dekoder Brotli yang dijuluki Node2Shell, ke katalog Known Exploited Vulnerabilities pada Selasa, 27 Oktober 2026. Lembaga itu memerintahkan instansi federal AS menambalnya paling lambat 10 November. Menurut BleepingComputer, penyerang sudah mulai mengeksploitasinya, tetapi pelakunya belum disebut.
Apa yang terjadi pada Node.js
Celah ini berupa penulisan di luar batas memori pada dekoder Brotli yang dibundel Node.js. Penyerang tanpa hak istimewa bisa mengirim data terkompresi Brotli yang dirancang khusus, sehingga aplikasi bisa mogok, membocorkan memori, atau dalam kasus tertentu menjalankan kode dari jarak jauh. Jalur yang terpapar mencakup isi permintaan dengan header Content-Encoding: br, respons fetch() dari server yang tidak tepercaya, dan frame WebSocket terkompresi Brotli.
Imperva lebih dulu menerbitkan demonstrasi serangan pada Node.js 24.22.0. Peneliti ELLIO lalu mereproduksinya pada 25 Oktober di arsitektur x86-64 dan melaporkan lalu lintas pemindaian serta lalu lintas mirip eksploitasi di lapangan, menurut The Hacker News. Express 5.0.0 sampai 5.3.0 dan body-parser 2.0.0 sampai 2.3.0 ikut diuji sebagai jalur yang bisa mencapai dekoder itu.
Celah yang sama sudah memicu pembaruan di produk lain. Microsoft sebelumnya merilis patch darurat .NET untuk kelemahan Brotli ini.
Versi terdampak dan versi perbaikan
Tim Node.js merilis perbaikan pada 21 Oktober dalam rilis keamanan yang memuat total 10 CVE. Menurut rangkuman Astra Security dan Qualys, versi yang sudah diperbaiki adalah 22.23.4 untuk jalur 22.x, 24.22.1 untuk jalur 24.x, dan 26.12.1 untuk jalur 26.x. Jalur 20.x dan yang lebih lama sudah tidak didukung dan tidak akan mendapat tambalan, begitu pula 23.x dan 25.x yang dilaporkan tanpa perbaikan. Karena itu, rangkuman pihak ketiga ini sebaiknya dicocokkan dengan catatan rilis resmi Node.js.
Langkah yang perlu diambil
Node.js tidak menyediakan solusi sementara di dalam runtime, jadi satu-satunya perbaikan lengkap adalah memperbarui. Setelah itu, mulai ulang proses yang berjalan dan bangun ulang lalu terapkan kembali image kontainer, karena banyak image membawa biner Node sendiri. Tim yang masih memakai 20.x, 23.x, atau 25.x perlu pindah ke jalur yang didukung.
Bila belum bisa menambal, CISA menyarankan memblokir permintaan masuk berkompresi Brotli di proxy atau firewall, atau mematikan dekode Brotli. Qualys menambahkan saran membatasi ukuran payload terkompresi dan rasio dekompresi di reverse proxy atau WAF. Langkah ini hanya mempersempit jalur serangan dan tidak membuat runtime lama menjadi aman.
Bagi pengembang dan penyedia hosting di Indonesia yang menjalankan API Express atau layanan berbasis fetch(), pengecekan versi Node hari ini lebih murah daripada menanggapi insiden nanti.
Sumber: BleepingComputer, The Hacker News, Qualys. Gambar: BleepingComputer.