Node.js Brotli Açığı CVE-2026-111497: 21 Ekim 2026 Güvenlik Sürümleri ve Yama Sürümleri

Node.js projesi, 21 Ekim 2026 tarihli güvenlik duyurusunda Brotli çözücüsündeki sınır dışı yazma açığını (CVE-2026-111497, önem etiketi "High") v22.23.4, v24.22.1 ve v26.12.1 sürümleriyle düzeltti; açık, uygulamanın saldırgan kontrolündeki Brotli verisini node:zlib ile açması durumunda bellek bozulmasına yol açabiliyor.

Bu sayfa Node.js'in resmî sitesindeki (nodejs.org) "Wednesday, October 21, 2026 Security Releases" duyurusuna dayanır. Haber sitelerinin özetlerinden rakam ya da ad aktarılmamış, metin Türkçe olarak sıfırdan yazılmıştır. Sayfa teknik bir bilgilendirmedir; kendi sisteminizde karar vermeden önce duyurunun kendisini okumanız gerekir.

Künye

Açık Tam Olarak Ne?

Duyuruya göre Node.js'in içine gömülü Brotli çözücüsünde, bozuk biçimde hazırlanmış sıkıştırılmış girdi çözücünün içindeki 8 baytlık tamponun ötesine yazabiliyor. Sorunun kökü şudur: geçersiz bir blok geçişi kalıcı bir biçim hatası olarak bildirilmesi gerekirken "geçici olarak daha fazla girdi gerekli" diye bildiriliyor ve akış çözücüsü tampona girdi eklemeye devam ediyor. Bu da bellek bozulmasına yol açıyor.

Duyuru, saldırganın uygulamanın node:zlib ile açtığı Brotli verisini sağlayabilmesi koşulunu belirtiyor ve olası sonuçlar olarak çökme, süreç belleğinin ifşası ve uzaktan kod çalıştırmayı sayıyor. Dolayısıyla her Node.js sunucusu kendiliğinden sömürülebilir değildir; risk, uygulamanın güvenilmeyen kaynaklardan gelen Brotli verisini çözmesine bağlıdır.

Hangi Sürümlere Geçilmeli?

Etkilenen sürüm hatları 26.x, 24.x ve 22.x. Düzeltmeler hat bazında v26.12.1, v24.22.1 ve v22.23.4 sürümlerinde yer alıyor. Duyuru ayrıca, desteği sona ermiş (EOL) sürümlerin etkilendiğini ve bu sürümlere yama gelmeyeceğini belirtiyor. Kullandığınız sürümü node --version komutuyla görebilirsiniz.

Aynı Sürümdeki Diğer Düzeltmeler

Bu güvenlik sürümleri yalnızca Brotli açığı için çıkmadı. Duyuruya göre aynı sürümlerde toplam 10 CVE kapatıldı; bunların 4'ü High etiketli, 3'ü Medium, 3'ü Low. Bu nedenle sürüm yükseltmesi tek bir açığın ötesinde bir paket düzeltme içeriyor. Güvenlik odaklı başka bir sayfamız için virüslü antivirüsler uyarısı yazımıza bakabilirsiniz.

Bu Sayfada Ne Yok?

• CVSS sayısal puanı: Node.js duyurusu yalnızca "High" etiketi veriyor; dolaşan sayısal puanlar birincil kaynakta doğrulanamadığı için yazılmamıştır.
• Açık için dolaşan takma adlar: Node.js duyurusunda geçmediği için kullanılmamıştır.
• Sömürü kodu ya da saldırı yönteminin adımları: bu sayfa savunma amaçlı bilgilendirmedir; yazılmamıştır.
• Açığın gerçek saldırılarda kullanılıp kullanılmadığı: duyuruda böyle bir bilgi doğrulanmadığı için yazılmamıştır.
• Türkiye'deki kurumlara özgü etki bilgisi: kaynakta yoktur.
• Geçici çözüm önerisi: duyuruda yer almadığı için sayfaya eklenmemiştir.
• Diğer 9 CVE'nin tek tek ayrıntıları: bu sayfa yalnızca Brotli açığına odaklanır.

Sık Sorulan Sorular

CVE-2026-111497 hangi Node.js sürümlerini etkiliyor?

Duyuruya göre 26.x, 24.x ve 22.x hatlarını; desteği bitmiş sürümler de etkilenir ancak yama almaz.

Hangi sürümde düzeltildi?

v26.12.1, v24.22.1 ve v22.23.4 sürümlerinde.

Her Node.js sunucusu uzaktan ele geçirilebilir mi?

Hayır. Duyuru, saldırganın uygulamanın node:zlib ile açtığı Brotli verisini sağlayabilmesi koşulunu belirtiyor ve olası sonuçlar arasında çökme, bellek ifşası ve uzaktan kod çalıştırmayı sayıyor.

Açığı kim buldu?

Duyuru raporlayan olarak OpenAI Codex Security'den Khai Tran ve Sylvie Mayer'i gösteriyor.

Önem derecesi nedir?

Node.js duyurusu "High" etiketini veriyor; duyuruda sayısal CVSS puanı yer almıyor.

Aynı sürümde başka açıklar da kapatıldı mı?

Evet; duyuruya göre toplam 10 CVE kapatıldı (4 High, 3 Medium, 3 Low).

Kaynak ve kapsam: Node.js, "Wednesday, October 21, 2026 Security Releases" (nodejs.org/en/blog/vulnerability, 21 Ekim 2026). Sayısal CVSS puanı, açığın aktif sömürü durumu, geçici çözümler ve diğer CVE'lerin ayrıntıları kaynakta bulunmadığı ya da doğrulanamadığı için yazılmamıştır.