Kalau kamu menjalankan workload Node.js di dalam data center atau colocation, rilis keamanan terbaru ini layak diperhatikan. Sekitar 21 Oktober 2026 proyek Node.js mengeluarkan update untuk baris 26.x, 24.x dan 22.x. Beberapa isu yang diperbaiki berstatus high.
Yang paling serius meliputi penulisan di luar batas pada decoder Brotli yang bisa berujung remote code execution, plus beberapa bypass validasi hostname TLS. Ketika aplikasi berada di infrastruktur shared atau multi-tenant, runtime yang belum di-patch menjadi risiko bukan hanya untuk aplikasi itu sendiri, tapi juga untuk lingkungan yang lebih luas.
Perbaikan high severity yang perlu diketahui
Empat CVE high yang menonjol:
- CVE-2026-105482 – dns.resolve memotong nama yang mengandung karakter NUL.
- CVE-2026-105483 – bypass hostname sertifikat TLS ketika IP ditulis dengan fullwidth digits (26.x dan 24.x).
- CVE-2026-106069 – bypass hostname TLS ketika host secara longgar resolve ke alamat IP.
- CVE-2026-111497 – penulisan di luar batas pada decoder Brotli yang memungkinkan remote code execution.
Isu medium dan low mencakup penanganan keep-alive socket, validasi sertifikat untuk hostname IPv4 non-kanonik, kebocoran cache entropy ke snapshot startup, serta beberapa edge case di Permission Model.
Update dependency yang ikut dibawa
Rilis ini juga memperbarui c-ares, ca-cert (terkait kompromi Intermediate CA eMudhra), OpenSSL di 24.x dan 22.x, SQLite di 22.x, serta Undici. Jadi baik runtime inti maupun beberapa komponen di bawahnya mendapat perhatian keamanan.
Versi yang sudah mengandung perbaikan
Build berikut sudah tersedia:
- Node.js v22.23.4
- Node.js v24.22.1
- Node.js v26.12.1
Di ketiga baris rilis, tingkat keparahan tertinggi yang diperbaiki adalah HIGH. Versi End-of-Life tetap terdampak; tetap berada di rilis yang didukung adalah cara praktis untuk tetap mutakhir.
Kenapa ini penting di dalam data center
Banyak API modern, microservices, dan aplikasi edge berjalan di atas Node.js. Ketika workload tersebut berada di lingkungan colocation atau data center terkelola, tanggung jawab update runtime sering kali ada di tim operasional atau platform. Jalur RCE atau bypass sertifikat bukan sekadar masalah aplikasi — bisa menjadi perhatian tingkat fasilitas jika isolasi tidak sempurna.
Fasilitas yang sudah tersertifikasi Tier IV dan berada di lokasi yang dekat dengan pusat internet exchange di Jakarta biasanya lebih mudah menjaga koneksi tetap stabil. Kalau kebutuhanmu sudah mengarah ke workload yang butuh densitas daya tinggi atau jalur jaringan bersih, data center yang memang dirancang untuk itu akan jauh lebih nyaman dikelola. Banyak tim juga lebih memilih colocation yang menawarkan opsi disaster recovery di kota berbeda supaya risiko regional tetap terkelola.
Langkah praktisnya sederhana: inventarisasi versi Node.js yang berjalan di rak atau container kamu, bandingkan dengan rilis yang sudah di-patch, lalu jadwalkan update. Menjaga runtime tetap mutakhir adalah salah satu cara yang lebih tenang tapi efektif untuk mengurangi risiko di dalam lingkungan data center modern.
