CISA menambahkan CVE-2026-111497 ke katalog Known Exploited Vulnerabilities (KEV) pada 27 Oktober 2026 dengan alasan ada bukti eksploitasi aktif. Celah ini berada di dekoder Brotli yang dibundel bersama Node.js, dan proyek Node.js menyatakan celah tersebut berpotensi memicu eksekusi kode dari jarak jauh. Google, selaku penerbit rekaman CVE, memberi skor CVSS 4.0 sebesar 9,2, sedangkan Node.js sendiri menilainya berstatus High.
Apa yang terjadi dan versi mana yang terdampak
Menurut analisis Rapid7, dekoder memperlakukan blok Brotli yang tidak valid sebagai tanda masih butuh data, bukan sebagai kesalahan format. Akibatnya, dekoder terus menambah byte ke penyangga berukuran delapan byte dan menulis melewati batasnya. Dampaknya bisa berupa proses yang mogok, kebocoran isi memori, atau eksekusi kode.
Node.js merilis perbaikan pada 21 Oktober 2026: versi 22.23.4, 24.22.1, dan 26.12.1. Jalur 22.x, 24.x, dan 26.x yang lebih lama terdampak. Jalur yang sudah habis masa dukungnya, seperti 20.x dan sebelumnya serta 23.x dan 25.x, tidak akan mendapat tambalan. Di sisi pustaka, Google memperbaikinya di Brotli 1.0.10, 1.1.1, dan 1.2.1. Bun versi 1.4.3 ke bawah juga terdampak dan diperbaiki di 1.4.4. Paket Python brotli dan brotlicffi sudah ditambal di 1.2.1 dan 1.2.1.0.
Layanan terpapar bila ia, atau pustaka yang dipakainya, mendekompresi data Brotli dari pihak yang tidak tepercaya. Contohnya badan permintaan HTTP dengan Content-Encoding br dan respons dari fetch() ke server yang tidak Anda kendalikan. Tim riset Imperva menguji Express 5.0.0 sampai 5.3.0 dan body-parser 2.0.0 sampai 2.3.0 sebagai jalur masuk.
Status eksploitasi masih diperdebatkan
CISA tidak menyebut pelaku atau target, dan menandai pemakaian oleh ransomware sebagai tidak diketahui. Perusahaan ELLIO melaporkan lalu lintas eksploitasi pada 26 Oktober, tetapi itu pengamatan ELLIO sendiri, bukan konfirmasi CISA atau Node.js. Imperva menunjukkan eksekusi kode pada image Docker Node.js 24.22.0 setelah beberapa kali percobaan tanpa merilis kodenya. Sebagian peneliti berpendapat dampak nyatanya lebih dekat ke penolakan layanan, dan Sysdig belum melihat kampanye eksploitasi massal.
Langkah yang perlu diambil
Naikkan Node.js ke 22.23.4, 24.22.1, 26.12.1, atau yang lebih baru. Memperbarui paket npm saja tidak menutup celah ini, karena dekodernya ada di runtime. Periksa juga runtime Node.js yang terbungkus di dalam image kontainer dan alat CLI, dan pastikan versi di kontainer yang berjalan lewat node --version, bukan hanya dari tag image. Pindahkan aplikasi dari jalur yang sudah habis masa dukungnya ke jalur yang masih ditambal.
Bila belum bisa memperbarui, batasi masukan Brotli yang tidak tepercaya. Tolak header Content-Encoding br di reverse proxy, atau pada layanan yang tidak butuh badan permintaan terkompresi, matikan dekompresi di body-parser dengan opsi inflate: false. Opsi itu tidak melindungi respons hasil fetch(), dan Rapid7 serta Node.js menegaskan semua ini hanya solusi sementara. Tinjau pula layanan yang terbuka ke internet dan menerima badan terkompresi sebelum ditambal. Untuk menjaga rantai pasok paket npm, baca juga bahasan kami soal package firewall npm dari GitHub.
Bagi tim di Indonesia yang menjalankan API, layanan mikro, atau aplikasi Next.js di server sendiri, tenggat federal AS tanggal 10 November tidak mengikat, tetapi patut dijadikan patokan waktu pemasangan.