Node.js Project menerbitkan pembaruan keamanan pada 21 Oktober 2026 untuk tiga jalur rilis yang masih didukung: Node.js 26, Node.js 24, dan Node.js 22. Rilis ini memperbaiki sejumlah kerentanan pada DNS, TLS, HTTP, Brotli, kriptografi, ZIP, serta Permission Model.
Versi yang disarankan setelah pembaruan tersebut adalah Node.js 26.12.1 untuk jalur Current, Node.js 24.22.1 untuk jalur LTS Krypton, dan Node.js 22.23.4 untuk jalur LTS Jod. Tingkat keparahan tertinggi pada rilis ini adalah High.
Empat kerentanan High yang perlu diperhatikan
- CVE-2026-105482:
dns.resolve()dapat memotong nama yang mengandung karakter NUL. - CVE-2026-105483: validasi hostname sertifikat TLS dapat dilewati ketika alamat IP ditulis menggunakan digit fullwidth. Isu ini berdampak pada Node.js 26 dan 24.
- CVE-2026-106069: validasi hostname TLS dapat dilewati ketika host secara longgar ter-resolve menjadi alamat IP.
- CVE-2026-111497: celah pada decoder Brotli dapat menyebabkan out-of-bounds write dan berpotensi memungkinkan remote code execution.
Selain empat isu High tersebut, Node.js juga memperbaiki masalah Medium pada pemrosesan socket keep-alive, validasi sertifikat IPv4 non-kanonik, serta penyimpanan cache entropy dari crypto.randomUUID() dan crypto.randomInt() ke startup snapshot atau SEA. Pada jalur Node.js 26, tersedia pula perbaikan Low untuk ZipFile dan Permission Model.
Pembaruan dependency yang ikut dibawa
Rilis keamanan ini tidak hanya mengubah kode inti Node.js. Proyek Node.js juga memperbarui dependency yang memiliki dampak keamanan: c-ares pada jalur 26, 24, dan 22; root certificate; OpenSSL pada Node.js 24 dan 22; SQLite pada Node.js 22; serta Undici pada seluruh jalur yang disebutkan.
Perubahan ini penting karena aplikasi Node.js sering bergantung pada lapisan TLS, DNS, HTTP client, kompresi, dan database tanpa memanggil seluruh komponen itu secara langsung dari kode aplikasi. Menunda upgrade berarti tetap menjalankan runtime dengan kombinasi dependency yang diketahui memiliki perbaikan keamanan tersedia.
Dampak bagi developer dan administrator server
Risiko paling serius berada pada aplikasi yang menerima input jaringan, memproses hostname atau alamat IP dari pengguna, menggunakan koneksi TLS, menerima payload Brotli, atau menjalankan proses dengan Permission Model. API gateway, reverse proxy berbasis Node.js, service yang mengunduh data dari internet, dan aplikasi yang memproses arsip perlu diprioritaskan dalam inventarisasi.
Kerentanan entropy cache juga relevan untuk aplikasi yang membuat UUID atau bilangan acak dalam konteks startup snapshot dan Single Executable Applications. Tim perlu menguji ulang cara aplikasi membuat nilai acak dan tidak menganggap semua penggunaan randomUUID() memiliki profil risiko yang sama di setiap mode deployment.
Checklist upgrade Node.js
- Identifikasi versi Node.js pada laptop developer, server, container image, CI/CD, dan proses PM2 atau systemd.
- Prioritaskan upgrade ke Node.js 26.12.1, 24.22.1, atau 22.23.4 sesuai jalur rilis dan kompatibilitas aplikasi.
- Perbarui base image Docker, image build CI, dokumentasi provisioning, dan file seperti
.nvmrcatau konfigurasi toolchain. - Jalankan unit test, integration test, smoke test TLS/DNS, pengujian upload atau kompresi Brotli, serta pengujian startup snapshot jika digunakan.
- Periksa lockfile dan dependency transitive, lalu pantau log setelah deployment untuk error koneksi, sertifikat, DNS, dan parsing arsip.
- Pastikan versi lama yang sudah End-of-Life tidak tertinggal pada server atau job terjadwal. Node.js Project menegaskan bahwa versi EOL juga terdampak ketika security release diterbitkan.
Apakah harus langsung pindah ke Node.js 26?
Tidak selalu. Untuk aplikasi produksi yang membutuhkan stabilitas LTS, Node.js 24.22.1 atau 22.23.4 dapat menjadi pilihan yang lebih konservatif selama kompatibilitasnya sesuai. Yang paling penting adalah memakai patch release terbaru pada jalur yang dipilih, bukan sekadar mengganti major version tanpa pengujian.
Untuk aplikasi baru atau tim yang memang siap mengikuti jalur Current, Node.js 26.12.1 membawa perbaikan keamanan yang sama sekaligus beberapa perbaikan tambahan khusus jalur 26. Namun, keputusan upgrade sebaiknya mempertimbangkan dukungan dependency, image produksi, native addon, dan prosedur rollback.
Kesimpulan
Pembaruan Node.js Oktober 2026 perlu diperlakukan sebagai pekerjaan prioritas, terutama karena mencakup beberapa isu High pada DNS dan TLS serta celah decoder Brotli yang berpotensi berujung pada remote code execution. Segera petakan seluruh runtime Node.js, pilih patch release yang sesuai, lakukan pengujian terarah, lalu deploy dengan rencana rollback yang jelas.
Sumber resmi: https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
Transparansi: Artikel ini disusun bersama Codekop AI berdasarkan sumber yang tercantum, lalu ditinjau dan disunting oleh Fauzan Falah. AI dapat keliru, jadi silakan cek kembali sumber asli.
