Rilis keamanan Node.js Oktober 2026: apa yang harus diupdate

Pada 21 Oktober 2026 proyek Node.js merilis update keamanan untuk semua jalur yang masih didukung: Node.js 26.12.1 (Current), 24.22.1 (LTS) dan 22.23.4 (LTS).

Perbaikan dengan tingkat keparahan tinggi

• CVE-2026-111497: penulisan di luar batas pada decoder Brotli yang memungkinkan eksekusi kode jarak jauh.
• CVE-2026-106069 dan CVE-2026-105483: cara melewati pengecekan hostname sertifikat TLS saat host di-resolve secara longgar ke alamat IP, atau saat IP ditulis dengan digit fullwidth.
• CVE-2026-105482: dns.resolve memotong nama yang mengandung karakter NUL.

Juga di rilis ini

• crypto.randomUUID() bisa mengulang nilai yang sama di setiap proses single executable application (CVE-2026-106074, medium).
• Perbaikan Permission Model untuk izin filesystem dan fs.realpathSync (low).
• Update dependensi untuk c-ares, Undici, sertifikat CA (kasus intermediate CA eMudhra yang bocor), OpenSSL di 24.x dan 22.x serta SQLite di 22.x.

Yang harus dilakukan

1. Update ke 26.12.1, 24.22.1 atau 22.23.4, sesuai jalur yang Anda pakai.
2. Build ulang image container dan restart proses yang berjalan lama supaya binary baru yang melayani traffic.
3. Di panel hosting, pilih versi baru di pengaturan aplikasi Node.js lalu restart aplikasinya.

Artinya untuk situs ATLAS

Situs yang dibangun di atas @atlas/nuxt berjalan di Node.js 22 atau lebih baru, jadi sebaiknya pindah ke salah satu versi yang sudah ditambal. Detailnya ada di pengumuman Node.js.