Celah keamanan yang ditambal di Node.js pekan ini memungkinkan klien tanpa otentikasi melumpuhkan server pengguna dukungan bawaan HTTP/2 pada lini rilis 24.x dan 26.x. Kerentanan HTTP/2 kedua sanggup membuat server mengirimkan fragmen memorinya sendiri kepada pihak klien, termasuk respons yang seharusnya ditujukan bagi koneksi pengguna lain.
Pembaruan perbaikan telah diluncurkan secara resmi untuk tiga lini yang masih didukung: 22.23.5, 24.22.3, serta 26.13.1.
Masalah gangguan crash, berkode CVE-2026-123863, hanya memerlukan server HTTP/2 standar yang merespons sebelum seluruh badan permintaan (request body) tuntas terkirim. Pihak proyek Node.js menyebut perilaku semacam itu lumrah terjadi. Kerusakan ini dapat menyerang koneksi TLS maupun komunikasi teks biasa (cleartext).
Kerentanan memori, dengan kode CVE-2026-123866, berdampak pada ketiga lini rilis. Mulai dari versi 24.22.0 dan 26.9.0 ke atas, pihak klien dapat memicunya seorang diri. Pada lini 22.x serta versi 24.x dan 26.x lama, masalah ini tetap dapat terpicu ketika server itu sendiri memutus aliran data di tengah-tengah proses pengiriman respons, seperti akibat batas waktu jeda (idle timeout).
Kelemahan berbeda pada server HTTPS Node.js, CVE-2026-123864, memungkinkan klien tanpa otentikasi mengintip memori koneksi lain, "termasuk kunci privat TLS serta permintaan pengguna lain," demikian pengumuman proyek tersebut. Kerentanan ini memengaruhi seluruh tiga lini yang didukung.
Celah itu mensyaratkan adanya penangan (handler) yang memanggil res.flushHeaders() sebelum badan permintaan diterima seutuhnya dan kemudian mengeksekusi res.end() berisi data. Pembacaan bocoran memori tersebut juga membutuhkan rute yang mengembalikan atau menyimpan isi badan permintaan. Server HTTP biasa yang dibangun memanfaatkan node:http tidak terkena imbas.
Pembaruan ini memperbaiki 16 kerentanan di dalam sistem inti Node.js, dengan tujuh di antaranya berstatus tingkat keparahan tinggi. Empat kerentanan tingkat tinggi lainnya beserta server yang terdampak mencakup:
Delapan celah di atas berakar di dalam basis kode server HTTP/2, HTTPS, dan TLS internal Node.js, sehingga berdampak signifikan saat proses Node.js menangani langsung koneksi tersebut.
Memperbarui sistem ke rilis perbaikan pada setiap lini adalah satu-satunya penanganan dalam penasihat keamanan proyek ini. Dokumen tersebut tidak menyajikan solusi alternatif sementara bagi server yang belum dapat melakukan pembaruan.
Lini rilis usang (end-of-life), termasuk versi 20.x dan 25.x, tidak memperoleh perbaikan pada edisi ini, dan pihak pengembang menyatakan rilis usang selalu rentan terdampak.
Laporan penasihat tidak mendeteksi adanya serangan aktif yang mengeksploitasi seluruh celah ini. Pihak proyek juga belum menentukan apakah server yang sempat memenuhi prasyarat celah HTTPS perlu mengganti kunci privat TLS atau data rahasia lainnya setelah proses pembaruan berjalan.
Sebanyak lima celah, termasuk CVE-2026-123863 dan CVE-2026-123864, dilaporkan oleh Chris Rohlf melalui kolaborasi dengan Claude serta Anthropic Research, seturut keterangan resmi di dalam laporan penasihat.
About the Author
