Node.js'in Kasım güncellemeleri 16 açığı kapattı, yedisi yüksek önemde

Node.js projesi 11 Kasım’da desteklenen üç seri için güvenlik güncellemeleri yayımladı: 22.23.5, 24.22.3 ve 26.13.1. Projenin duyurusuna göre güncellemeler 16 açığı kapatıyor. Açıklardan yedisi yüksek, altısı orta, üçü düşük önemde. Güncellemeler ayrıca bilinen açıkları gidermek için llhttp (22, 24 ve 26 serileri), undici (24 ve 26) ve sqlite (22 ve 24) bağımlılıklarını güncelliyor.

Yüksek önemdeki açıklar

• CVE-2026-123864 (HTTPS): Bir yeniden giriş (re-entrancy) hatası, giriş yapmamış bir istemcinin başka bağlantılara ait belleği, TLS özel anahtarları ve başka kullanıcıların istekleri dahil, okumasına izin veriyor. Node.js’e göre açığın tetiklenmesi için istek gövdesi bitmeden res.flushHeaders() çağıran ve ardından res.end()’i boş olmayan bir veriyle çağıran bir işleyici gerekiyor. Sızan belleği okumak için de istek gövdesini geri yansıtan ya da saklayan sıradan bir yol yeterli. Şifresiz node:http etkilenmiyor. 22, 24 ve 26 serileri etkileniyor.
• CVE-2026-123863 (HTTP/2): Oturum kapatılırken erişilebilen bir doğrulama (assertion), giriş yapmamış herhangi bir istemcinin hem TLS hem şifresiz bağlantı üzerinden sunucu sürecini sonlandırmasına izin veriyor. Varsayılan ayarlarda çalışan ve istek gövdesi bitmeden yanıt veren bir HTTP/2 sunucusu yeterli. Node.js’e göre açık, CVE-2024-27983 için yapılan düzeltmenin kapsamadığı bir varyant. 24 ve 26 serileri etkileniyor.
• CVE-2026-123866 (HTTP/2): Akış (stream) kapatılırken oluşan bir use-after-free, başka bağlantıların yanıt verileri dahil yanıt belleğinin karşı tarafa sızmasına yol açabiliyor. 22, 24 ve 26 serileri etkileniyor.
• CVE-2026-123874 (HTTP/2): respondWithFile() ya da respondWithFD() ile dosya sunan uygulamalarda, giriş yapmamış bir istemcinin sunucu belleğini bozmasına izin veren bir use-after-free. 24 ve 26 serileri etkileniyor.
• CVE-2026-123865 (HTTP/2): Oturum zaten kapanırken tetiklenen bir protokol hatası, giriş yapmamış bir istemcinin sunucuda kalıcı bir bellek ve dosya tanımlayıcısı sızıntısına (leak) yol açmasına izin veriyor. 22, 24 ve 26 serileri etkileniyor.
• CVE-2026-126051 (TLS): SNICallback, OCSPRequest, newSession ya da resumeSession kancalarını veya server.addContext() işlevini kullanan TLS sunucularında, el sıkışma sırasında ertelenen geri çağrılardaki bir hata, giriş yapmamış bir saldırganın sunucu sürecini sonlandırmasına izin veriyor. 24 ve 26 serileri etkileniyor.
• CVE-2026-123872 (TLS): Bir hata, istemcinin TLS 1.2 yeniden anlaşması (renegotiation) sırasında sunucu adını değiştirmesine izin veriyor. Ana bilgisayar adına göre farklı istemci sertifikası politikaları uygulayan sunucularda daha sıkı politika bu yolla atlatılabiliyor. 22, 24 ve 26 serileri etkileniyor.

CVE kayıtlarında Node.js’in verdiği CVSS 3.0 puanları bu yedi açık için 7.5 ile 8.2 arasında. En yüksek puan 8.2 ile CVE-2026-123863’e ait, CVE-2026-123864’ün puanı 8.1.

Diğer açıklar

Orta önemdeki altı açık arasında HTTP/2 Alt-Svc işlemede bir baytlık yığın taşması (CVE-2026-123828), ana bilgisayar adına göre uygulanan karşılıklı TLS (mTLS) yetkilendirmesinin atlatılmasına izin veren bir açık (CVE-2026-123867), hata iletilerinde vekil sunucu (proxy) kimlik bilgilerinin açığa çıkması (CVE-2026-123871) ve https.Agent’ta bir TLS oturumunun farklı CA politikaları arasında yeniden kullanılmasıyla sertifika doğrulamasının atlatılması (CVE-2026-123877) var. Düşük önemdeki üç açığın ikisi Node.js’in izin modelini (Permission Model) etkiliyor.

Açıkları bulanlar

Duyuruya göre beş açığı (CVE-2026-123863, CVE-2026-123864, CVE-2026-123874, CVE-2026-123875 ve CVE-2026-123862) Chris Rohlf, Claude ve Anthropic Research ile birlikte bildirdi. İzin modelini etkileyen CVE-2026-123829’u Trail of Bits (OpenAI) bildirdi.

Güncelleme

Node.js, desteği bitmiş sürümlerin her güvenlik güncellemesinde etkilenen kabul edildiğini hatırlatıyor ve güncel, desteklenen bir sürümün kullanılmasını öneriyor. Node.js’i bir Linux dağıtımının paketinden ya da bir konteyner imajından kullananların o paketlerin ve imajların güncellemelerini takip etmesi gerekiyor.

Node.js’in Ekim’deki güncellemesinde kapatılan ve daha sonra saldırılarda kullanılan Brotli açığını ayrı bir yazıda anlatmıştık.