Pada 21 Oktober 2026, proyek Node.js merilis pembaruan keamanan untuk cabang 22.x, 24.x, dan 26.x. Rilis perbaikannya adalah 22.23.4, 24.22.1, dan 26.12.1. Tingkat keparahan tertinggi dalam pengumuman Node.js adalah high. Ini pembaruan runtime; memperbarui paket aplikasi saja tidak mengganti binary Node.js yang menjalankan server. Pengumuman resmi Node.js

Apa yang diperbaiki?

  • CVE-2026-105482 (high): fungsi dns.resolve*() dan dns.reverse() dapat memotong nama host yang berisi byte NUL. Risikonya bergantung pada aplikasi yang menerima nama host dari input tidak tepercaya dan mengandalkan hasil resolusi itu untuk keputusan keamanan. Mempengaruhi 22.x, 24.x, dan 26.x. Node.js
  • CVE-2026-106069 (high): verifikasi nama host sertifikat TLS dapat tidak sejalan dengan alamat IP yang dipakai koneksi ketika literal IPv4 tidak kanonis diproses berbeda oleh URL parser dan resolver OS. Tidak berarti setiap koneksi HTTPS otomatis bisa dibajak; format host dan platform berpengaruh. Mempengaruhi 22.x, 24.x, dan 26.x. Rilis 22.23.4 juga mencantumkan CVE-2026-106072 dalam perbaikan penolakan alamat IP tidak kanonis. Pengumuman keamanan · Catatan rilis 22.23.4
  • CVE-2026-105483 (high): regresi pemeriksaan nama host sertifikat TLS terkait angka fullwidth pada alamat IP; pengumuman menyebut cabang 24.x dan 26.x. Node.js
  • CVE-2026-105481 (medium): penanganan respons pada soket HTTP keep-alive sebelum request dikirim. CVE-2026-106074 (medium): cache entropi crypto.randomUUID() dan randomInt() dalam startup snapshots atau Single Executable Applications dapat menyebabkan nilai berulang antarproses. CVE-2026-106073 (low): pemeriksaan izin fs.realpathSync() kurang lengkap saat Permission Model digunakan. Dampak tiap isu bergantung pada fitur dan konfigurasi aplikasi. Node.js

Catatan rilis 22.23.4 juga mencantumkan pembaruan dependency Brotli terkait CVE-2026-111497. Periksa catatan rilis cabang yang digunakan untuk daftar perubahan lengkap; jangan mengasumsikan setiap aplikasi menggunakan semua jalur rentan tersebut. Catatan rilis 22.23.4

Langkah pengelola aplikasi

  1. Inventarisasi versi Node.js yang benar-benar menjalankan tiap proses, termasuk container dan process manager. node -v pada shell belum tentu sama dengan runtime aplikasi.
  2. Perbarui cabang yang digunakan ke setidaknya 22.23.4, 24.22.1, atau 26.12.1, atau versi lebih baru yang didukung. Ikuti panduan distribusi atau image container yang dipakai. Unduhan dan rincian rilis resmi
  3. Uji aplikasi di staging, deploy binary/image yang diperbarui, restart worker, lalu verifikasi versi proses aktif dan fungsi DNS, TLS, serta HTTP yang digunakan.
  4. Jika aplikasi menggunakan versi Node.js yang sudah end-of-life, rencanakan migrasi ke cabang yang didukung. Jadwal rilis Node.js

Intinya: patch runtime dan pastikan proses aktif memakai versi baru. Daftar CVE bukan bukti bahwa instalasi tertentu sudah dieksploitasi.