Proyek Node.js mengumumkan bahwa mereka akan merilis perbaikan keamanan pada atau sesaat setelah Rabu, 11 November 2026. Pengumuman itu berbentuk pre-alert, yakni peringatan awal sebelum detail teknis dibuka. Tiga lini rilis aktif masuk daftar, yaitu 22.x, 24.x, dan 26.x, dan di setiap lini ada setidaknya satu celah berperingkat High.
Apa yang sudah diumumkan
Halaman advisori resmi di nodejs.org mencantumkan tanggal pembaruan terakhir 3 November 2026. Menurut FOSS Linux, Antoine du Hamel dari tim Node.js mengirim pre-alert yang sama ke milis oss-security pada 4 November 2026 pukul 09.18 UTC. Isinya singkat: tanggal rilis, tiga lini yang terdampak, dan peringkat tertinggi per lini, yaitu High untuk 26.x, 24.x, dan 22.x.
Yang belum ada jauh lebih banyak. Halaman itu tidak memuat nomor CVE, jumlah celah, komponen yang bermasalah, maupun nomor versi hasil perbaikan. Karena itu belum bisa dipastikan apakah masalahnya ada di modul inti, pustaka bawaan, atau dependensi. Tulisan ini tidak akan menebak, dan detailnya baru bisa dinilai setelah Node.js menerbitkan advisori lengkap.
Versi lama ikut berisiko
Node.js menegaskan satu hal yang sering terlewat: versi end-of-life selalu ikut terdampak setiap kali ada rilis keamanan, dan tidak akan menerima perbaikan sama sekali. Tim proyek meminta pengguna memakai versi yang masih didukung sesuai jadwal rilis resmi. Artinya, server yang masih menjalankan lini di luar 22.x, 24.x, dan 26.x tidak akan mendapat tambalan pada 11 November, apa pun isi celahnya.
Pola serupa baru saja terjadi di ekosistem JavaScript lain. Tim Next.js menambal tujuh celah di dua lini versi pada awal pekan ini, dan pengelola aplikasi Node.js yang memakai kerangka itu sebaiknya memeriksa kedua lapisan sekaligus.
Yang bisa disiapkan sekarang
Tim Node.js menyarankan pengguna meningkatkan versi ke rilis perbaikan segera setelah tersedia, berpindah dari versi end-of-life, dan berlangganan milis nodejs-sec untuk pengumuman resmi. Untuk persiapan praktis, administrator bisa menjalankan node --version di setiap server dan image kontainer, mencatat lini mana yang dipakai, lalu mengosongkan jadwal pemeliharaan untuk 11 sampai 12 November.
Tim yang masih berada di lini lama punya waktu sekitar enam hari untuk merencanakan perpindahan ke lini yang didukung. Nomor versi hasil perbaikan baru bisa dipastikan lewat pengumuman rilis pada hari yang sama, jadi pipeline build dan pengujian sebaiknya sudah siap sebelum tanggal itu.
Sumber: Node.js, November 2026 Security Releases dan FOSS Linux. Gambar: FOSS Linux