İçeriğe geç
Emir Hoca.

Node.js 11 Kasım güvenlik sürümü: 22, 24 ve 26 kullananlar için hazırlık

Node.js bugün 22, 24 ve 26 sürüm hatları için yüksek önem dereceli bir güvenlik sürümü çıkarıyor. Ekimdeki Brotli açığından sonra ikinci tur.

2 dk okuma

Node.js projesi 26.x, 24.x ve 22.x sürüm hatları için yeni güvenlik sürümlerini 11 Kasım 2026'da ya da hemen sonrasında yayımlayacağını duyurdu. Kapatılacak en ciddi açık yüksek önem dereceli (Node.js, 3 Kasım 2026). Bu yazıyı yazarken duyuruda henüz CVE listesi ve yeni sürüm numaraları yoktu. Onları tahmin etmeyeceğim; ama hazırlığı şimdiden yapabilirsiniz.

Neden önemli?

Next.js, Nuxt ya da Express ile yapılmış sitelerin çoğu Node.js üzerinde çalışıyor. Build adımları da öyle. Üç hafta içinde ikinci koordineli güvenlik sürümü bu. 21 Ekim'deki sürüm 26.12.1, 24.22.1 ve 22.23.4 ile on CVE'yi kapatmıştı. Bunlardan biri Brotli sıkıştırma çözücüsündeki bir bellek hatasıydı: node:zlib ile bozuk Brotli verisi açıldığında uygulama çökebiliyor, bellek sızabiliyor ya da uzaktan kod çalıştırılabiliyordu (Node.js, 21 Ekim 2026).

Node.js ekibi her güvenlik sürümünde aynı şeyi hatırlatıyor: ömrünü tamamlamış sürümler her zaman etkilenir ve düzeltme almaz. Node 20 ya da daha eskisini kullanıyorsanız bu sürüm size gelmeyecek.

Bugün yapılacaklar

  1. Her sunucuda ve her Dockerfile'da kullanılan Node sürümüne bakın (node -v, FROM node:... satırı).
  2. 20 ya da daha eski bir sürüm varsa 22, 24 ya da 26'ya geçişi planlayın.
  3. En azından Ekim yamalarının (22.23.4, 24.22.1, 26.12.1) üzerinde olduğunuzdan emin olun.
  4. Yeni sürüm yayımlanınca duyuruyu okuyun, Docker imajını yeniden üretin ve yayına alın. Sunucuda elle yama yapmak yerine imajı CI'da yeniden üretmek, neyin çalıştığını bilmeyi kolaylaştırır.

Ben bu sitede imajları GitHub Actions'ta node:22-alpine tabanıyla üretiyorum. Yeni sürüm yayımlanınca imajı yeniden üretmek yamayı almak için yetiyor. Node.js sürümünüzü birlikte kontrol etmek isterseniz bana ulaşın.

Kaynaklar