Node.js güvenlik açığı uyarısı: 4'ü yüksek riskli 10 açık için güncelleme

Node.js kullanan geliştiriciler ve sistem yöneticileri için önemli bir güncelleme yayımlandı. Node.js projesi, 21 Ekim 2026'da desteklenen tüm sürüm hatları için güvenlik güncellemeleri çıkardı. Bu güncellemelerle toplam 10 güvenlik açığı kapatıldı. Açıklardan dördü yüksek, üçü orta, üçü ise düşük önem derecesinde.

Hangi Node.js sürümlerine güncellemek gerekiyor?

Node.js, açıkların kapatıldığı sürümleri şöyle duyurdu:

• Node.js 26.12.1 (Current)
• Node.js 24.22.1 (LTS)
• Node.js 22.23.4 (LTS)

Node.js ekibi, desteği sona ermiş (End-of-Life) sürümlerin bu tür güvenlik bültenlerinden her zaman etkilendiğini hatırlatıyor. Eski bir sürüm kullanıyorsanız desteklenen bir sürüme geçmeniz gerekiyor.

Node.js, web sunucularından komut satırı araçlarına, masaüstü uygulamalarından bulut fonksiyonlarına kadar çok geniş bir alanda kullanılan bir JavaScript çalışma ortamı. Bu nedenle çalışma ortamındaki bir açık, üzerinde çalışan çok sayıda uygulamayı aynı anda etkileyebiliyor. Özellikle internete açık sunucularda ve dışarıdan gelen sıkıştırılmış veriyi işleyen servislerde güncellemenin geciktirilmemesi gerekiyor.

En tehlikeli açık: Brotli çözücüde bellek hatası

Bültendeki en dikkat çekici açık CVE-2026-111497. Bu açık, Brotli sıkıştırma çözücüsündeki sınır dışı yazma (out-of-bounds write) hatasından kaynaklanıyor. Node.js'e göre hata, uzaktan kod çalıştırmaya izin verebiliyor ve 22, 24 ile 26 sürüm hatlarının hepsini etkiliyor. Açığı OpenAI Codex Security ekibinden araştırmacılar bildirdi. Brotli, web trafiğinde yaygın kullanılan bir sıkıştırma biçimi olduğu için bu açık, dışarıdan gelen sıkıştırılmış veriyi açan uygulamalar açısından özellikle önem taşıyor.

Yüksek önem derecesindeki diğer üç açık şunlar:

1. CVE-2026-105482: dns.resolve, NUL karakteri içeren alan adlarını kesiyor.
2. CVE-2026-105483: IP adresi tam genişlikli (fullwidth) rakamlarla yazıldığında TLS sertifikasındaki sunucu adı kontrolü atlatılabiliyor. Açık 24 ve 26 hatlarını etkiliyor.
3. CVE-2026-106069: Sunucu adı gevşek biçimde bir IP adresine çözümlendiğinde TLS sunucu adı kontrolü atlatılabiliyor.

Orta seviyeli açıklar arasında crypto.randomUUID() ve randomInt() fonksiyonlarına ait rastgelelik önbelleğinin başlangıç anlık görüntülerine (snapshot) ve tek dosyalık uygulamalara kaydedilmesi de var. Bu durumda her süreç aynı değerleri tekrar üretebiliyor.

Bağımlılıklarda da güncelleme var

Güncellemeler yalnızca Node.js'in kendi kodunu kapsamıyor. Paketle gelen c-ares, OpenSSL, SQLite ve Undici bileşenlerindeki bilinen açıklar için de düzeltmeler yapıldı. Ayrıca paketle gelen kök sertifika listesi, eMudhra ara sertifika otoritesinin ele geçirilmesi nedeniyle güncellendi. Bu nedenle TLS bağlantısı kuran uygulamalar için güncelleme ayrıca önem taşıyor.

Sunucuda Node.js çalıştıranlar, sürümü güncelledikten sonra uygulamayı yeniden başlatmalı. Docker imajı kullananlar ise imajı yeni sürüme göre yeniden derlemeli.

Düşük önem derecesindeki üç açık ise daha sınırlı senaryoları etkiliyor. Bunlardan ikisi Node.js'in izin modeli (Permission Model) ile ilgili: biri joker karakterli dosya sistemi izinlerinde fazladan yetki verilmesine, diğeri fs.realpathSync ile izin modelinin atlatılmasına yol açıyor. Üçüncüsü ise yalnızca 26 sürüm hattındaki ZipFile bileşenini etkiliyor. İzin modelini güvenlik sınırı olarak kullananların bu düzeltmeleri de dikkate alması gerekiyor.

Sık sorulan sorular

Node.js sürümümü nasıl öğrenebilirim?

Terminalde node -v komutunu çalıştırarak kullandığınız sürümü görebilirsiniz. Sürüm 26.12.1, 24.22.1 veya 22.23.4'ten eskiyse güncelleme yapmanız gerekiyor.

En kritik Node.js açığı hangisi?

Brotli çözücüdeki sınır dışı yazma hatası olan CVE-2026-111497, Node.js'e göre uzaktan kod çalıştırmaya izin verebildiği için en tehlikeli açık olarak öne çıkıyor.

Kaynak: Node.js, OpenJS Foundation