Peringatan Ancaman

Tim pengembang Node.js baru saja merilis pembaruan keamanan mendesak untuk mengatasi celah kritis yang disebut-sebut berdampak pada "hampir setiap aplikasi Node.js di lingkungan produksi". Celah ini, jika dieksploitasi, dapat membuat server aplikasi mati mendadak (crash) dan memicu kondisi Denial-of-Service (DoS).​

Kerentanan ini diberi kode CVE-2025-59466 dengan skor keparahan CVSS 7.5 (High).

Apa Masalahnya?

Masalah ini berakar pada cara Node.js menangani situasi ketika memori tumpukan (stack space) habis, khususnya saat fitur async_hooks sedang aktif.

Secara teknis, bug ini menyebabkan Node.js langsung "keluar" atau mati dengan kode error 7 (Internal Exception Handler Run-Time Failure) alih-alih menangani error tersebut dengan aman. Akibatnya, aplikasi tidak bisa melakukan pemulihan diri (recovery) dan langsung tumbang.

Ini menjadi sangat berbahaya jika aplikasi menerima input dari pengguna yang tidak difilter, yang bisa memicu rekursi (perulangan) tak terbatas hingga memori habis.​

Siapa yang Terdampak?

Hampir semua framework modern dan alat pemantauan aplikasi (APM) terkena dampaknya karena mereka sangat bergantung pada komponen AsyncLocalStorage (bagian dari async_hooks).

Daftar teknologi yang terpengaruh meliputi:

• Next.js

• React Server Components

• Datadog

• New Relic

• Dynatrace

• OpenTelemetry

• Elastic APM​

Masalah ini berdampak pada semua versi Node.js mulai dari versi 8.x hingga 18.x (yang sudah tidak didukung/EoL), serta versi-versi terbaru sebelum patch dirilis.

Solusi: Segera Update!

Pengembang Node.js telah merilis perbaikan yang mengubah cara sistem menangani stack overflow agar tidak langsung mematikan server. Anda sangat disarankan untuk segera memperbarui Node.js ke versi berikut:

• Node.js 20.20.0 (LTS)

• Node.js 22.22.0 (LTS)

• Node.js 24.13.0 (LTS)

• Node.js 25.3.0 (Current)​

Selain celah DoS ini, pembaruan tersebut juga menambal tiga kerentanan keamanan tingkat tinggi lainnya (CVE-2025-55131, CVE-2025-55130, dan CVE-2025-59465) yang berisiko kebocoran data dan manipulasi file.

Rekomendasi: Bagi para developer dan penyedia hosting, segera lakukan pembaruan untuk menjaga ketersediaan layanan Anda dan mencegah serangan DoS yang tidak diinginkan.