Node.js merilis pembaruan keamanan pada Oktober 2026 untuk memperbaiki 10 kerentanan, termasuk empat kerentanan berstatus High. Salah satu yang perlu mendapat perhatian adalah celah pada decoder Brotli yang berpotensi memungkinkan Remote Code Execution (RCE) pada kondisi tertentu.
Apa yang perlu diperhatikan?
Kerentanan yang diperbaiki mencakup pemrosesan data Brotli, validasi sertifikat TLS, resolusi DNS, serta komponen lainnya. Dampaknya bergantung pada versi Node.js, cara aplikasi memproses input, dan konfigurasi lingkungan.
Versi yang perlu diperiksa
- Node.js 26.x → perbarui ke 26.12.1 atau versi perbaikan yang lebih baru.
- Node.js 24.x → perbarui ke 24.22.1 atau versi perbaikan yang lebih baru.
- Node.js 22.x → perbarui ke 22.23.4 atau versi perbaikan yang lebih baru.
Periksa juga status dukungan versi yang digunakan. Node.js 20.x dan 25.x telah berstatus End of Life (EOL) dan perlu direncanakan migrasinya ke cabang yang masih didukung.
Langkah mitigasi
- Inventarisasi server, aplikasi, dan container yang menggunakan Node.js.
- Perbarui runtime ke versi yang telah diperbaiki sesuai cabangnya.
- Uji aplikasi dan tinjau log untuk mencari aktivitas mencurigakan.
- Pastikan kontrol akses, segmentasi jaringan, serta proteksi server tetap diterapkan.
Pengelola sistem disarankan memeriksa lingkungan masing-masing dan mengikuti panduan resmi pada Node.js Security Releases.
Catatan: Pembaruan keamanan mengurangi risiko kerentanan yang diketahui, tetapi tidak menggantikan pemeriksaan untuk memastikan apakah sistem sebelumnya telah dikompromikan.