Kalau kamu pakai Node.js di server atau aplikasi, ada kabar penting. Tim Node.js baru saja merilis update keamanan untuk tiga baris rilis utama: 26.x, 24.x, dan 22.x. Update ini keluar sekitar 21 Oktober 2026 dan menutup beberapa celah yang cukup serius.
Yang paling perlu diperhatikan: ada beberapa kerentanan dengan tingkat high. Kalau server kamu masih pakai versi lama, lebih baik segera update biar nggak jadi target yang gampang.
Apa saja yang diperbaiki
Rilis ini bukan cuma perbaikan kecil. Ada beberapa CVE yang cukup krusial:
- CVE-2026-105482 (high) – dns.resolve memotong nama yang mengandung karakter NUL. Bisa bikin resolusi DNS jadi tidak akurat.
- CVE-2026-105483 (high) – TLS certificate hostname bisa di-bypass kalau IP ditulis pakai fullwidth digits. Hanya di 26.x dan 24.x.
- CVE-2026-106069 (high) – TLS hostname bypass lagi, kali ini saat host secara longgar resolve ke alamat IP.
- CVE-2026-111497 (high) – Brotli decoder bisa menulis di luar batas memori, membuka peluang remote code execution. Ini yang paling mengkhawatirkan.
Selain yang high, ada juga beberapa medium dan low. Misalnya masalah keep-alive socket yang memproses response sebelum request dikirim, validasi sertifikat IPv4 yang kurang tepat, cache entropy di randomUUID yang bisa bocor ke snapshot, serta beberapa isu di Permission Model.
Dependency yang ikut di-update
Selain perbaikan di core Node.js, rilis ini juga membawa update dependency penting: c-ares, ca-cert (terkait kompromi Intermediate CA eMudhra), OpenSSL (di 24.x dan 22.x), SQLite (di 22.x), dan Undici. Jadi bukan cuma Node.js-nya saja yang lebih aman, tapi juga komponen di bawahnya.
Versi yang tersedia
Kalau mau update, ini versi yang sudah mengandung semua perbaikan:
- Node.js v22.23.4
- Node.js v24.22.1
- Node.js v26.12.1
Tingkat keparahan tertinggi di ketiga baris rilis ini adalah HIGH. Versi yang sudah End-of-Life tetap terkena dampak, jadi pastikan kamu pakai versi yang masih didukung sesuai jadwal rilis resmi Node.js.
Kenapa ini penting buat operasional
Banyak aplikasi modern, API, dan layanan backend jalan di atas Node.js. Kalau runtime-nya punya celah RCE atau bypass sertifikat, dampaknya bisa langsung ke data dan layanan yang dijalankan. Update rutin seperti ini biasanya lebih mudah dilakukan daripada harus menangani insiden nanti.
Kalau kamu butuh infrastruktur yang stabil untuk bisnis, layanan colocation dan konektivitas di Platinum bisa jadi pilihan praktis supaya fokus ke bisnis inti, bukan urusan server dan patching.
Intinya sederhana: cek versi Node.js yang kamu pakai sekarang. Kalau masih di bawah yang disebutkan di atas, segera rencanakan update. Lebih baik sedikit effort sekarang daripada harus berurusan dengan celah keamanan yang sudah diketahui publik.
