Node.js Rilis Pembaruan untuk 16 Celah Keamanan, Atasi Kerentanan HTTP/2 dan Bocornya Data

Sebuah kerentanan yang ditambal di Node.js pekan ini memungkinkan klien tanpa otentikasi melumpuhkan peladen yang memanfaatkan fitur bawaan HTTP/2 pada lini rilis 24.x dan 26.x. Masalah HTTP/2 kedua sanggup mengakibatkan peladen membagikan fragmen memorinya kepada klien, mencakup respons milik koneksi lain.

Versi pembaruan telah didistribusikan ke tiga lini aktif yang didukung: versi 22.23.5, versi 24.22.3, serta versi 26.13.1.

Celah penyebab server tumbang, CVE-2026-123863, hanya memerlukan konfigurasi standar peladen HTTP/2 yang membalas sebelum seluruh badan permintaan selesai diterima. Pihak pengembang Node.js menganggap perilaku demikian sangat lumrah. Kerusakan ini dapat berlangsung baik pada jalur koneksi TLS maupun koneksi teks polos.

Kerentanan kebocoran memori, CVE-2026-123866, melanda ketiga lini tersebut. Mulai dari rilis 24.22.0 dan rilis 26.9.0 ke atas, aksi dari klien saja sudah cukup untuk memicu bug ini. Pada versi 22.x serta rilisan lama 24.x dan 26.x, masalah ini tetap bisa aktif bila peladen secara mandiri menutup aliran data di tengah pengiriman respons, seperti pada kondisi batas waktu jeda.

Kerentanan terpisah pada peladen HTTPS Node.js, CVE-2026-123864, berpotensi membiarkan klien tak dikenal membaca isi memori dari sambungan lain, "termasuk kunci privat TLS dan permintaan dari pengguna lain," terang proyek tersebut. Masalah ini juga berdampak ke seluruh lini yang didukung.

Celah tersebut mensyaratkan fungsi penanganan yang mengeksekusi res.flushHeaders() sebelum badan permintaan rampung terkirim lalu memanggil perintah res.end() beserta datanya. Membaca bocoran memori ini juga membutuhkan jalur rute yang mengembalikan atau menyimpan isi badan permintaan. Peladen HTTP standar yang berbasiskan node:http tidak terdampak oleh masalah ini.

Pembaruan terkini mengatasi 16 celah keamanan di dalam Node.js itu sendiri, dengan tujuh di antaranya berkategori tingkat keparahan tinggi. Empat celah berisiko tinggi lainnya, serta jenis peladen yang terdampak, adalah:

Delapan kelemahan sistem di atas secara keseluruhan berada di dalam kode peladen HTTP/2, HTTPS, serta TLS internal milik Node.js, sehingga hal itu berdampak langsung pada proses Node.js yang mengelola koneksi tersebut secara mandiri.

Melakukan peningkatan ke rilis pembaruan tiap versi merupakan satu-satunya solusi yang dipaparkan dalam pengumuman keamanan tersebut. Dokumen tersebut tidak menyajikan solusi alternatif sementara bagi sistem peladen yang belum memungkinkan untuk diperbarui.

Lini yang telah habis masa dukungannya, seperti 20.x dan 25.x, tidak memperoleh perbaikan apa pun dalam rilis kali ini, dan pihak pengelola menegaskan bahwa versi kedaluwarsa tersebut selalu rentan.

Laporan keamanan tersebut tidak menemukan adanya eksploitasi nyata di lapangan. Dokumen tersebut juga tidak menerangkan apakah pengelola peladen yang memenuhi kriteria kerentanan HTTPS mesti memperbarui kunci TLS beserta rahasia pengaman lainnya pasca pembaruan.

Sebanyak lima kerentanan, termasuk CVE-2026-123863 dan CVE-2026-123864, dilaporkan langsung oleh Chris Rohlf yang bermitra dengan Claude serta Anthropic Research, sebagaimana tercantum pada pengumuman resmi.