Satu celah di pustaka kompresi Brotli kini menjadi alasan untuk memeriksa versi Node.js di server Anda. CVE-2026-111497 berskor CVSS 9,8 dan berupa penulisan di luar batas memori pada dekoder Brotli. Tim Node.js menambalnya dalam rilis keamanan 21 Oktober 2026. Pada 30 Oktober, Badan Keamanan Siber Singapura (CSA) mengeluarkan peringatan bahwa celah ini dilaporkan sedang dieksploitasi.
Bagaimana celah ini bekerja
Menurut pengumuman Node.js, dekoder streaming salah menangani perpindahan blok yang tidak valid. Kesalahan format itu dianggap sekadar kekurangan masukan sementara, sehingga dekoder terus menambahkan data ke penyangga internal sepanjang delapan byte. Akibatnya bisa berupa proses yang mogok, bocornya isi memori proses, atau eksekusi kode dari jarak jauh. Penyerang hanya perlu membuat aplikasi mendekompresi data Brotli buatannya lewat modul node:zlib. Node.js mencatat tiga pelapor: OpenAI Codex Security, Khai Tran, dan Sylvie Mayer.
Catatan Tenable menyebut sumber masalahnya ada di Google Brotli versi 1.0.3 sampai 1.2.0, dengan perbaikan di versi 1.0.10, 1.1.1, dan 1.2.1. Tenable juga menandai celah ini sebagai Known Exploited Vulnerability dan merujuk peringatan CISA pada 27 Oktober 2026. Pengumuman Node.js sendiri tidak menyebut status eksploitasi, jadi klaim serangan aktif berasal dari CSA dan Tenable. CSA menambahkan bahwa kode bukti konsep sudah beredar.
Versi yang terdampak dan perbaikannya
Node.js menyatakan lini 22.x, 24.x, dan 26.x terdampak. Versi yang sudah ditambal adalah 22.23.4, 24.22.1, dan 26.12.1. Node.js tidak memberi solusi sementara atau pengaturan konfigurasi untuk celah ini, sehingga satu-satunya langkah resmi adalah memperbarui. Aplikasi yang mendekompresi data Brotli dari pihak tak tepercaya, misalnya server yang menerima unggahan atau permintaan terkompresi, paling terbuka terhadap serangan.
CSA juga mencantumkan Microsoft .NET 8, 9, 10, dan 11 sebagai produk terdampak, tetapi peringatan itu tidak merinci versi perbaikannya. Pengguna .NET sebaiknya memantau pengumuman Microsoft. Rilis Node.js yang sama menutup sembilan celah lain, dengan tiga di antaranya juga berstatus tinggi, yaitu CVE-2026-105482, CVE-2026-105483, dan CVE-2026-106069. Itu satu alasan lagi untuk tidak menunda pembaruan.
Yang perlu dilakukan sekarang
Jalankan node --version di setiap server dan wadah, lalu naikkan ke versi tertambal sesuai lini yang dipakai. Periksa juga pustaka Brotli yang dibundel terpisah, termasuk di gambar kontainer dan paket pihak ketiga. Node.js mengingatkan bahwa versi yang sudah habis masa dukungannya selalu terdampak rilis keamanan, jadi lini lama perlu dipindah ke lini yang masih didukung. Bagi pembaca yang mengelola rantai pasok npm, kampanye seperti worm npm testmetest menunjukkan bahwa lingkungan Node.js yang tidak dirawat gampang jadi sasaran.
Sumber: Node.js, rilis keamanan Oktober 2026; CSA Singapura, peringatan AL-2026-154; Tenable, CVE-2026-111497. Gambar: Node.js.