Celah Brotli Node.js CVE-2026-111497 Sudah Dieksploitasi

Apakah aplikasi Node.js di servermu sudah naik versi sejak akhir Oktober? Kalau belum, ini saatnya. Celah CVE-2026-111497 di dekoder Brotli bawaan Node.js sudah masuk katalog Known Exploited Vulnerabilities (KEV) milik CISA pada 27 Oktober 2026, artinya ada bukti celah ini dipakai menyerang di dunia nyata.

Jawaban singkatnya: naikkan Node.js ke v26.12.1, v24.22.1, atau v22.23.4 sesuai lini yang kamu pakai. Ketiganya dirilis Node.js pada 21 Oktober 2026. Lini 20.x ke bawah sudah end of life dan tidak mendapat perbaikan.

Apa sebenarnya celah ini?

Brotli adalah format kompresi buatan Google yang banyak dipakai di web (header Content-Encoding: br). Node.js membundel pustaka Brotli untuk modul node:zlib.

Menurut pengumuman keamanan Node.js, data Brotli yang sengaja dibuat rusak bisa membuat dekoder menulis melewati batas buffer internal berukuran delapan byte. Penyebabnya, sebuah block switch yang tidak valid dianggap sebagai "butuh input lagi", bukan kesalahan format. Dekoder pun terus menambahkan byte ke buffer itu.

Akibatnya, penyerang yang bisa mengirim data Brotli ke aplikasi yang mendekompresinya dapat merusak memori proses. Dampaknya bisa berupa crash, bocornya isi memori, atau eksekusi kode dari jarak jauh. Node.js menilai celah ini High, sedangkan skor CVSS v4.0 dari Google sebagai CNA adalah 9.2. Celah ini dilaporkan peneliti dari OpenAI Codex Security.

Di media keamanan, celah ini juga dijuluki Node2Shell atau Brotli2Shell.

Siapa saja yang terdampak?

Bukan hanya Node.js. Bug-nya ada di pustaka Brotli itu sendiri, jadi proyek lain yang membundel Brotli ikut kena. Proyek Brotli Google merilis perbaikan 1.2.1, 1.1.1, dan 1.0.10 di hari yang sama dengan Node.js, dan Bun merilis perbaikannya keesokan harinya.

Di aplikasi Node.js, jalur yang perlu kamu waspadai menurut analisis Corgea antara lain:

• Kode yang memanggil zlib.brotliDecompress(), zlib.brotliDecompressSync(), atau zlib.createBrotliDecompress().
• fetch() bawaan Node.js yang otomatis mendekompresi respons Brotli dari server lain, termasuk server yang dikuasai penyerang.
• Express 5 atau body-parser 2.x yang menerima body permintaan dengan Content-Encoding: br.

Rilis keamanan Node.js 21 Oktober itu sebenarnya menambal sepuluh celah sekaligus (sebagian media menyebut sembilan), termasuk tiga celah High lain terkait dns.resolve dan validasi hostname sertifikat TLS. Satu kali upgrade menutup semuanya.

Langkah menambal Node.js di server

1. Cek versi yang berjalan

node -v

Kalau aplikasi berjalan di container, cek di dalam container-nya, bukan di host:

docker exec nama-container node -v

Kalau hasilnya di bawah 26.12.1, 24.22.1, atau 22.23.4 pada lininya, server kamu rentan. Perhatikan juga bahwa Node.js tidak mengubah angka process.versions.brotli pada rilis ini, jadi patokan tetap versi Node.js-nya.

2. Upgrade sesuai cara pasang

Kalau memakai paket NodeSource atau repositori distro:

sudo apt-get update
sudo apt-get install --only-upgrade nodejs

Kalau memakai nvm, pasang versi perbaikan lalu jadikan default:

nvm install 22.23.4
nvm alias default 22.23.4

Untuk aplikasi di Docker, ganti tag image dasar ke versi perbaikan (misalnya node:22.23.4 atau node:24.22.1), build ulang image, lalu jalankan ulang container. Image lama yang tersimpan di registry tetap rentan sampai dibangun ulang.

3. Restart proses aplikasi

Upgrade binary tidak mengubah proses yang sudah berjalan. Restart aplikasi, misalnya pm2 restart all bila kamu memakai PM2, lalu cek ulang dengan node -v dan log aplikasi.

4. Pasang pengaman sementara bila belum bisa upgrade

Sambil menunggu jadwal upgrade, kamu bisa menolak permintaan yang body-nya dikompresi Brotli di reverse proxy. Contoh di Nginx, di dalam blok server:

if ($http_content_encoding ~* "br") {
    return 415;
}

Ini hanya menutup jalur permintaan masuk. Respons Brotli yang diambil aplikasi lewat fetch() dari server lain tidak ikut terlindungi, jadi upgrade tetap wajib.

5. Periksa komponen lain yang membundel Brotli

Cari runtime atau pustaka lain di servermu yang memakai Brotli, misalnya Bun atau paket Python Brotli, lalu naikkan ke versi perbaikannya.

Kenapa status KEV membuat ini mendesak?

Katalog KEV hanya memuat celah yang terbukti dieksploitasi. CISA memberi tenggat 10 November 2026 bagi instansi federal AS untuk menambalnya, dan tenggat itu sudah lewat. Penjelasan lebih lengkap soal cara memakai daftar ini untuk menentukan prioritas ada di artikel katalog KEV CISA.

Bagi bisnis yang menjalankan API, webhook, atau backend toko online di Node.js, aplikasi yang menghadap internet adalah sasaran paling mudah. Masukkan upgrade runtime ke dalam rutinitas patch management supaya kejadian serupa tidak menunggu sampai ada berita eksploitasi. Kalau kamu menjalankan Node.js dengan PM2, panduan menjalankan aplikasi Node.js di VPS bisa jadi rujukan cara restart yang aman.

Checklist singkat:

• node -v menunjukkan 26.12.1, 24.22.1, 22.23.4, atau lebih baru.
• Image Docker berbasis Node.js sudah dibangun ulang.
• Proses aplikasi sudah di-restart.
• Bun, paket Python Brotli, dan komponen lain yang membundel Brotli sudah diperbarui.
• Server yang masih di Node.js 20 sudah dijadwalkan migrasi.