Peringatan Ancaman

Proyek Node.js merilis pembaruan keamanan pada 21 Oktober 2026 untuk tiga lini rilis yang masih didukung (22.x, 24.x, 26.x). Kerentanan paling kritis terdapat pada kode dekompresi Brotli yang dibundel, yang dapat dieksploitasi untuk Remote Code Execution (RCE). Sepuluh celah keamanan diperbaiki, dengan RCE sebagai prioritas tertinggi.

Dimana letak masalahnya?

Kerentanan berada pada implementasi decoder Brotli internal Node.js (modul zlib). Ketika aplikasi memproses data terkompresi Brotli yang dikirim oleh penyerang, validasi batas buffer tidak memadai, memungkinkan penulisan di luar memori yang dialokasikan dan eksekusi kode arbitrer.

Dampak bagi Aplikasi dan Pengguna

• Remote Code Execution: Penyerang jarak jauh dapat menjalankan perintah sistem dengan hak proses Node.js.
• Kebocoran Data: Jika proses berjalan dengan privilese tinggi, data sensitif server dapat terekspos.
• Denial of Service: Eksploitasi gagal tetap dapat memicu crash proses Node.js.

Versi yang Terdampak dan Perbaikan

Semua versi rilis yang masih mendapat dukungan: Node.js 22.x, 24.x, dan 26.x. Perbaikan tersedia pada rilis patch terbaru masing-masing lini (mis. 22.14.0, 24.2.0, 26.0.0). Administrator diharapkan memperbarui ke versi patch paling baru segera mungkin.

Rekomendasi untuk Developer dan Tim Security

• Upgrade Node.js ke versi patch terbaru untuk lini yang digunakan (22.x, 24.x, atau 26.x).
• Jika upgrade tidak langsung mungkin, nonaktifkan pemrosesan input Brotli dari sumber tidak tepercaya atau batasi ukuran payload dekompresi.
• Pantau log aplikasi untuk aktivitas anomali setelah penerapan patch. Celakah Brotli pada Node.js menegaskan pentingnya pemeliharaan rutin dependensi runtime. Penerapan patch secepatnya mengurangi jendela eksposur dan melindungi infrastruktur dari kompromi penuh.

Sumber Referensi

• https://thehackernews.com/2026/10odejs-brotli-decoder-bug-could-allow.html