Codex Security OpenAI Temukan Celah RCE Brotli di Node.js; Patch Dirilis
Tim OpenAI Codex Security menemukan celah out-of-bounds write di dekoder Brotli yang dibundel Node.js, dan celah itu bisa berujung pada eksekusi kode jarak jauh. Node.js merilis tambalan pada 21 Oktober 2026 lewat versi 22.23.4, 24.22.1, dan 26.12.1, bersama sembilan perbaikan keamanan lain. Temuan ini menunjukkan agen AI kini ikut memburu bug di pustaka inti yang dipakai jutaan server web.
Apa Itu Celah CVE-2026-111497 di Node.js?
CVE-2026-111497 adalah celah di dekoder Brotli bawaan Node.js yang membuat data terkompresi rusak bisa menulis melewati batas buffer internal. Node.js memberinya tingkat keparahan High. Penyerang yang bisa mengirim data Brotli ke aplikasi yang mendekompresinya lewat node:zlib berpotensi merusak memori proses, membocorkan isinya, atau menjalankan kode.
Menurut catatan rilis keamanan Node.js tertanggal 21 Oktober 2026, akar masalahnya ada pada cara dekoder menangani block switch yang tidak valid. Kondisi itu dilaporkan sebagai kekurangan input sementara, bukan kesalahan format permanen. Akibatnya, dekoder streaming terus menambahkan byte input ke buffer internal yang ukurannya hanya delapan byte, sampai data menulis ke area memori lain.
Celah ini berdampak pada tiga jalur Node.js yang masih didukung, yaitu 26.x, 24.x, dan 22.x. Node.js mencantumkan pelapornya sebagai "OpenAI Codex Security - Khai Tran and Sylvie Mayer". OpenAI kemudian menjelaskan temuan tersebut lewat unggahan di X pada 23 Oktober 2026, seperti dilaporkan Runtimewire pada hari yang sama.
Kalangan peneliti menjuluki bug ini Node2Shell. Tim riset Brandefense mencatat nama itu tidak dipakai oleh Node.js sendiri, dan julukan HTTP2Shell yang muncul belakangan merujuk ke CVE yang sama, bukan celah kedua.
Versi Node.js Mana yang Harus Segera Diperbarui?
Versi aman adalah Node.js 22.23.4, 24.22.1, dan 26.12.1. Semua versi di bawahnya pada jalur tersebut rentan. Jalur yang sudah habis masa dukungannya, seperti 25.x, 20.x, dan 18.x, tidak mendapat tambalan, sehingga satu-satunya jalan adalah pindah ke jalur yang masih didukung.
Rilis 21 Oktober 2026 menambal total 10 celah, terdiri atas 4 celah High, 3 Medium, dan 3 Low. Selain Brotli, tiga celah High lain menyangkut pemotongan nama pada dns.resolve dan dua cara melewati pengecekan hostname sertifikat TLS. Node.js tidak menerbitkan workaround resmi untuk celah-celah ini.
"Upgrading the runtime is the only complete fix," tulis Saeed Abbasi, Head of Threat Research Unit Qualys, dalam analisisnya pada 23 Oktober 2026. Ia juga mengingatkan bahwa Node.js 26 dijadwalkan menjadi LTS pada 28 Oktober 2026, sehingga pengguna jalur 26.x sebaiknya naik ke 26.12.1 sebelum tanggal itu.
Pembaruan tidak berhenti di Node.js. Menurut Brandefense, Bun memperbaiki Brotli bawaannya di versi 1.4.4, paket Python brotli di 1.2.1, brotlicffi di 1.2.1.0, dan pustaka Brotli milik Google di versi 1.0.10, 1.1.1, serta 1.2.1. Crypto Briefing mencatat perbaikan akar masalahnya sudah masuk ke kode Brotli sejak Februari 2026, tetapi baru dilabeli sebagai perbaikan keamanan pada Oktober 2026.
Seberapa Luas Paparan Celah Brotli Ini?
Paparannya besar karena Brotli dipakai untuk kompresi lalu lintas web. Data anonim Qualys (2026) menemukan 3,3 juta instalasi Node.js, 15 persen di antaranya berada di aset yang terhubung ke internet. Hanya sekitar 42.000 instalasi yang sudah ditambal saat analisis itu terbit pada 23 Oktober 2026.
Qualys juga mencatat sekitar 1,3 juta instalasi menjalankan jalur yang masih didukung tetapi belum ditambal, dan sekitar 1,7 juta menjalankan jalur yang sudah habis masa dukungannya. Kelompok kedua ini paling berisiko karena tidak akan menerima tambalan apa pun dari Node.js.
Aplikasi yang paling terpapar adalah yang mendekompresi data Brotli dari luar. Brandefense menjelaskan Express 5 memakai body-parser 2.x yang secara bawaan mendekode body berformat Brotli, sehingga satu baris app.use(express.json()) sudah cukup untuk membuka jalur serangan. Mitigasi sementaranya adalah opsi inflate: false atau menolak header Content-Encoding: br di sisi edge.
Minat terhadap celah ini naik cepat. Brandefense menghitung repositori GitHub yang menyebut CVE-2026-111497 bertambah dari 11 pada 22 Oktober menjadi 25 pada 23 Oktober 2026. Sampai 23 Oktober, celah ini belum masuk katalog Known Exploited Vulnerabilities milik CISA dan belum ada bukti eksploitasi massal.
Dampaknya bagi Perusahaan dan Pengembang di Indonesia
Perusahaan Indonesia yang menjalankan layanan berbasis Node.js perlu segera menginventarisasi versi runtime di server, container, dan fungsi serverless, lalu memperbarui ke versi aman. Ini juga sinyal bahwa agen AI pencari bug kini mempercepat penemuan celah, sehingga jarak antara pengumuman dan serangan makin pendek.
Qualys menyarankan pembaruan menyeluruh, termasuk salinan runtime di version manager, folder aplikasi, single executable application, dan image container. Image harus dibangun ulang, dan setiap layanan Node.js yang berjalan lama wajib di-restart agar memuat runtime baru. Prioritasnya adalah layanan yang menghadap internet dan menerima data terkompresi dari pengguna.
Celah yang bisa membocorkan memori proses juga punya sisi hukum. Bagi pengendali data di Indonesia, Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam jika terjadi kegagalan pelindungan data pribadi. Menambal lebih cepat jauh lebih murah daripada menangani insiden dan kewajiban notifikasi sesudahnya.
Bagi tim pengembang di Indonesia, pelajaran utamanya adalah ketergantungan pada pustaka bersama. Perbaikan di satu pustaka seperti Brotli baru sampai ke pengguna setelah setiap proyek turunan merilis versi baru, jadi pemantauan dependensi dan jadwal patch rutin perlu masuk proses kerja harian, bukan menunggu kabar celah ramai di media.
(Burung Hantu Infratek / Berbagai Sumber)
⚠️ Berita ini seluruhnya diriset, ditulis, dan dikembangkan dengan bantuan AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Berita Terkait Keamanan Siber AI
🛡️ Celah PHP2Shell Temuan AI Ancam 70 Persen Situs Web; PHP Rilis Tambalan
🧠 Claude Tulis 180 Juta Baris Bukti Formal untuk 123 Library Open Source
⚔️ Claude Mythos 5 Serang Developer Asli di 9 dari 43 Uji Siber AISI
🚫 Prompt Injection pada Agen AI: Risiko Nomor Satu OWASP dan Cara Bisnis Menangkalnya
Sumber dan Referensi
[1] Wednesday, October 21, 2026 Security Releases - Node.js
[3] Node2Shell: Fixed Node.js Versions and Check - Brandefense
[4] OpenAI researchers find remote-code flaw in Brotli, prompting runtime patches - Runtimewire
[5] OpenAI uncovers remote code execution flaw in Brotli compression library - Crypto Briefing
[6] UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi - JDIH BPK