Siber Güvenlik Başkanlığı (SGB), 23 Ekim 2026'da saat 11:27'de (TSİ) TR-26-1388 kodlu bildirimle Node.js'in 21 Ekim 2026'da 26.x, 24.x ve 22.x sürüm hatları için yayımladığı ve 10 güvenlik açığını kapatan güncellemeleri duyurdu; en ağır açık CVE-2026-111497, Node.js'e göre saldırganın hazırladığı Brotli sıkıştırılmış verinin işlenmesiyle uzaktan kod çalıştırmaya izin veriyor. Node.js ile web sunucusu, API, arka uç hizmeti, komut satırı aracı ya da tek dosyalı uygulama (SEA) çalıştıranların ve node:* taban imajlı container kullananların sürüm hattına göre 26.12.1, 24.22.1 veya 22.23.4 sürümlerine geçmesi gerekiyor.
En ağır açık: Brotli çözücü — CVE-2026-111497
Node.js'e gömülü Brotli çözücüsündeki sınır dışı yazma hatası olan CVE-2026-111497, desteklenen üç sürüm hattını da etkiliyor. Node.js açığı High olarak sınıflandırıyor; CVE kaydında Google'ın CVSS 4.0 puanı 9,2 (Critical). Google Brotli kütüphanesinin 1.0.3 ile 1.2.0 arasındaki sürümlerini kapsayan açık, CVE kaydına göre kimliği doğrulanmamış uzak bir saldırganın özel hazırlanmış bir Brotli akışıyla bellek bozulmasına ve olası kod çalıştırmaya yol açmasına imkân veriyor. Hatayı OpenAI Codex Security ekibi bildirdi. Açığın saldırılarda kullanıldığına dair bilgi bulunmuyor ve CISA KEV kataloğunda yer almıyor.
Diğer üç High açık
Yayımlanan pakette üç High seviye açık daha kapatıldı. Bunlardan CVE-2026-105483 yalnız 26.x ve 24.x hatlarında IP adresi tam genişlikli rakamlarla yazıldığında TLS sertifikası ana makine adı doğrulamasının atlatılmasına yol açıyor; CVE-2026-106069 ise normalleştirme sonrası IP adresine dönüşen adlarla benzer bir doğrulamayı atlatıyor. CVE-2026-105482 kodlu dns.resolve açığında ise NUL karakteri içeren alan adlarının kırpılması nedeniyle SGB'ye göre SSRF korumaları ve izin listesi denetimleri atlatılabiliyor. Paketteki diğer açıkların 3'ü Medium, 3'ü Low dereceli. Medium açıklardan CVE-2026-106074, rastgele değer önbelleklerinin başlangıç anlık görüntülerine (startup snapshot) ve SEA paketlerine kaydedilmesi nedeniyle her sürecin aynı değerleri tekrarlamasına yol açıyor; diğer ikisi HTTP keep-alive bağlantıları ve sertifika doğrulamasıyla ilgili. Low açıklar ZipFile ayrıştırıcısını ve İzin Modeli'ni (--permission) etkiliyor.
Bağımlılıklar ve eMudhra sertifikası
Güncellemeler OpenSSL, c-ares, Undici ve SQLite bağımlılık yamalarını içeriyor; ayrıca ele geçirilmiş eMudhra ara sertifika otoritesi Node.js'in güvenilir sertifika listesinden çıkarıldı. SGH, eMudhra'nın 8 ara sertifikasının anahtarlarının ele geçirildiğini 21 Ekim'de yazmıştı. Sürüm notlarına göre yeni sürümlerde kök sertifikalar da güncellendi ve engellenmiş açık anahtarları içeren sertifika zincirleri artık reddediliyor.
SGB'nin önerdikleri
SGB, sistem yöneticilerine ve kullanıcılara şu adımları öneriyor:
- Geçici önlem olarak güvenilmeyen trafikte Brotli açma (sıkıştırma çözme) işlemi vekil sunucu (proxy) katmanında devre dışı bırakılmalı.
- Kritik bağlantılarda sertifika parmak izine dayalı doğrulama tercih edilmeli.
- İvedilikle 26.12.1, 24.22.1 veya 22.23.4 yamalı sürümlerine geçilmeli.
- Eski
node:*taban imajlarıyla oluşturulmuş container'lar yeniden derlenmeli. - SEA ile paketlenmiş uygulamalar yeniden derlenmeli ve bu uygulamaların ürettiği gizli anahtarlar yenilenmeli.
- Destek süresi dolmuş 20.x ve önceki sürümler de etkileniyor ancak bunlar için yama yayımlanmayacak; bu sürümleri kullananlar desteklenen bir sürüm hattına geçmeli.
- Güncelleme, öncesinde yaşanmış bir ihlali gidermediği için güncellemeden önce şüpheli bir ek ya da bağlantının açıldığı düşünülen sistemler ayrıca incelenmeli.
Son madde SGB'nin ihtiyati uyarısı; açığın saldırılarda kullanıldığına dair bir bilgi yok.
Türkiye'de Node.js çalıştıran ya da açıklardan etkilenen sistem veya kurum sayısına ilişkin bir bilgi paylaşılmadı.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı — TR-26-1388 Node.js Projesi Güvenlik Bildirimi, 23 Ekim 2026
- Node.js — Wednesday, October 21, 2026 Security Releases, 21 Ekim 2026
- Node.js — Node.js 24.22.1 (LTS), 21 Ekim 2026
- CVE Program — CVE-2026-111497
Kapak (temsili): Node.js logosu, Ryan Dahl / Node.js, Wikimedia Commons, MIT lisansı (açık zemine yerleştirildi, 1200×675). Node.js adı ve logosu OpenJS Foundation'ın ticari markasıdır.
