Node.js 22, 24 ve 26 için güvenlik güncellemeleri yayımlandı
21 Ekim 2026 tarihli güvenlik sürümleri, Node.js ekosistemindeki önemli açıklara çözüm getiriyor. Hangi sürüme geçmeniz gerektiğini, öne çıkan riskleri ve güncelleme sürecini birlikte inceleyelim.
Kısa özet: Node.js ekibi, 22.x, 24.x ve 26.x sürüm serileri için toplam 10 CVE içeren bir güvenlik duyurusu yayımladı. Bunların dördü yüksek (High), üçü orta (Medium), üçü düşük (Low) önem seviyesinde. Her açıklık her sürüm serisini etkilemiyor; bu nedenle doğru düzeltme sürümünü kullanmak kritik.
Bu güvenlik güncellemesi neden önemli?
Node.js; web uygulamalarının arka uç servislerinde, API altyapılarında, otomasyon süreçlerinde ve geliştirme araçlarında yaygın olarak kullanılıyor. Çalışma zamanındaki bir güvenlik açığı, uygulama kodu değişmemiş olsa bile sistemlerin risk altında kalmasına neden olabilir.
21 Ekim 2026 güncellemesi; DNS çözümleme, TLS sertifika kontrolü, Brotli sıkıştırılmış veri işleme, HTTP bağlantı yönetimi ve izin modeli gibi temel alanlara odaklanıyor. En yüksek önem seviyesi High olarak duyuruldu. Bu, tüm sistemlerin mutlaka sömürüldüğü anlamına gelmez; ancak etkilenen ortamlarda güncellemenin geciktirilmemesi gerektiğini gösterir.
Hangi Node.js sürümüne güncellemelisiniz?
Node.js Project tarafından yayımlanan düzeltme sürümleri aşağıdaki gibidir. Mevcut ana sürümünüzü koruyarak ilgili güvenlik sürümüne geçebilirsiniz; farklı ana sürüme yükseltmek ise ayrıca uyumluluk testi gerektirebilir.
Not: Buradaki sürümler 21 Ekim 2026 güvenlik yayınındaki düzeltme sürümleridir. Daha yeni bir güvenlik düzeltmesi yayımlanmışsa aynı ana sürümdeki en güncel desteklenen yamayı tercih edin.
Öne çıkan dört yüksek önem seviyeli açık
Resmî duyuru içinde dikkat çeken açıkların bazıları, yalnızca uygulama mantığını değil Node.js’in doğrudan işlediği ağ ve veri katmanlarını etkiliyor.
Brotli decoder: Bellek bozulması ve uzaktan kod çalıştırma riski
Bozuk biçimlendirilmiş Brotli verilerinin çözülmesi sırasında sınır dışı bellek yazma hatası oluşabiliyor. Saldırganın uygulamaya çözdürebildiği sıkıştırılmış veriler belirli koşullarda çökme, bellek içeriğinin açığa çıkması veya uzaktan kod çalıştırma riskine yol açabiliyor. Etkilenen seriler: 22.x, 24.x ve 26.x.
DNS adres çözümlemede NUL karakteri
dns.resolve*() ve dns.reverse() işlemlerinde alan adı kesilmesi, doğrulanan ad ile çözümlenen hedefin farklılaşmasına neden olabiliyor. 22 / 24 / 26
TLS doğrulamasında Unicode IP gösterimi
Tam genişlikli rakamlarla yazılmış IP adreslerinde sertifika ana makine adı denetimi atlatılabiliyor. 24 / 26
Standart dışı IPv4 adresleri
Öncü sıfır içeren IPv4 gösterimleri, bazı platformlarda bağlantı adresi ile sertifika doğrulamasının farklı hedefleri yorumlamasına neden olabiliyor. 22 / 24 / 26
Risk, kullanım senaryosuna bağlıdır
Örneğin güvenilmeyen Brotli girdilerini açan servisler ile yalnızca kontrol edilen iç veriyi işleyen servislerin maruziyeti aynı değildir. Yine de güvenlik yamasını uygulamak en doğru ilk adımdır.
Diğer açıklar ve bağımlılık güncellemeleri
Yüksek önemdeki sorunların yanı sıra, orta ve düşük seviyeli başka düzeltmeler de yayımlandı:
- CVE-2026-105481 (Medium): Keep-alive HTTP soketlerinde istek gönderilmeden önce alınan yanıtın sonraki istek için kabul edilebilmesi. 22 / 24 / 26
- CVE-2026-106072 (Medium): Standart dışı IPv4 yazımlarında DNS SAN üzerinden yanlış sertifika doğrulaması. 22 / 24 / 26
- CVE-2026-106074 (Medium): Başlangıç snapshot’larında
crypto.randomUUID()verandomInt()önbelleklerinin süreçler arasında tekrarlanan değerler üretebilmesi. 22 / 24 / 26 - CVE-2026-106070 (Low): ZIP başlığı doğrulaması başarısız olduğunda istenmeyen verinin dönebilmesi. Yalnızca 26
- CVE-2026-106071 (Low): Permission Model içinde wildcard dosya erişim izinlerinin beklenenden geniş uygulanabilmesi. Yalnızca 26
- CVE-2026-106073 (Low):
fs.realpathSync()üzerinden izin modeli kısıtlamalarının aşılabilmesi. 22 / 24 / 26
Geliştiriciler için güvenli güncelleme adımları
Güncellemeyi planlarken bilgisayarınızdaki sürüm kadar sunucuda, Docker imajında ve CI/CD ortamında çalışan Node.js sürümlerini de kontrol edin.
Aktif Node.js sürümünü doğrulayın
Önce geliştirme ve üretim ortamlarında çalışan sürümleri belirleyin. Terminalde aşağıdaki komutla aktif çalışma zamanını görebilirsiniz.
# Aktif Node.js sürümünü kontrol et node --version # Kullanılan npm sürümünü kontrol et npm --version
Kullandığınız ana sürüme ait yamaya geçin
nvm kullanıyorsanız aşağıdaki örnekteki gibi, mevcut ana sürümünüze uygun düzeltmeyi yükleyin. Üç komutu birlikte çalıştırmak gerekmez; yalnızca projeniz için gerekli olanı seçin.
# Node.js 22 kullanan projeler nvm install 22.23.4 # Node.js 24 kullanan projeler nvm install 24.22.1 # Node.js 26 kullanan projeler nvm install 26.12.1 # Örnek: Kurulan 24.x sürümünü etkinleştir nvm use 24.22.1
Bağımlılık ve uyumluluk testlerini çalıştırın
Testleri, uygulamanın gerçekten çalışacağı Node.js sürümünde gerçekleştirin. Birim testleri, entegrasyon testleri, TLS ve dış servis bağlantıları ile sıkıştırılmış içerik akışlarını doğrulayın.
Üretim dağıtımlarını güncelleyin
Docker taban imajları, CI/CD çalışma ortamları, sunucu paketleri ve süreç yöneticileri gibi tüm dağıtım noktalarını kontrol edin. Ardından uygulamayı yeniden dağıtın veya ilgili servisleri yeniden başlatın.
Gerçek çalışan sürümü tekrar doğrulayın
Güncelleme sonrası yalnızca yerel terminale değil, üretimde çalışan sürecin sürümüne bakın. Hata kayıtlarını ve servis sağlığını takip ederek güncellemenin tamamlandığını doğrulayın.
Node.js güncellemesi hakkında merak edilenler
Node.js 22, 24 veya 26 kullanıyorum. Güncelleme zorunlu mu?
Etkilenen bir sürümdeyseniz güvenlik yamasını uygulamanız güçlü biçimde önerilir. Güncelleme öncesinde uygulamanızın ve bağımlılıklarınızın uyumluluğunu test edin.
Yalnızca npm paketlerini güncellemek yeterli mi?
Hayır. Bu duyuruda Node.js’in kendisindeki ve beraberinde dağıtılan bileşenlerdeki açıklar ele alınıyor. npm bağımlılıklarını güncellemek, Node.js çalışma zamanı sürümünü değiştirmez.
Eski ve destek dışı Node.js sürümleri kullanıyorsam ne yapmalıyım?
Destek dışı sürümler yeni güvenlik yamaları almaz. Uygulamanızı desteklenen bir Node.js sürümüne taşıyacak bir geçiş planı oluşturun ve resmî sürüm takvimini esas alın.
Güncellemeyi yalnızca geliştirici bilgisayarımda yapmak yeterli mi?
Hayır. Asıl önemli olan üretimde çalışan Node.js sürümüdür. Container, sunucu, yönetilen platform ve CI/CD gibi tüm ortamlarda kullanılan sürümleri ayrı ayrı kontrol edin.
Resmî sürüm notları ve güvenlik duyurusu
Bu yazı, 21 Ekim 2026 tarihli Node.js Project güvenlik yayını ve ilgili resmî sürüm notları esas alınarak hazırlanmıştır. Güncelleme yapmadan önce en yeni güvenlik duyurularını da kontrol edin.
