Setelah PHP2Shell, Kini Node.js Kena Celah RCE Node2Shell, Update Sekarang!

Nah sebelumnya kita sudah membahas mengenai Dua Celah Kritis PHP Bisa Bikin Server Diretas Tanpa Login, dan belum lama setelah dua kerentanan kritis PHP menjadi perhatian pengelola website, sekarang giliran Node.js nan mendapat pembaruan keamanan penting.

Jadi pada pada 21 Oktober 2026 kemarin, tim developer Node.js merilis update untuk menutup sepuluh kerentanan, termasuk sebuah celah pada decoder Brotli nan berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh alias remote code execution (RCE).

Celah tersebut tercatat sebagai CVE-2026-111497 dan mulai ramai dibahas dengan nama Node2Shell, namun masalah berada pada komponen Brotli nan disertakan dalam runtime Node.js, bukan sekadar pada satu package npm nan bisa diperbarui secara terpisah.

Jadi jika sebelumnya kita membahas PHP2Shell nan menakut-nakuti server berbasis PHP, kali ini pengelola aplikasi berbasis Node.js juga perlu memeriksa sistem mereka, lantaran jelas kedua kasus ini sama-sama menunjukkan bahwa kerentanan pada komponen inti nan digunakan banyak aplikasi bisa berakibat luas.

Node2Shell Bisa Memicu Remote Code Execution

Nah berasas advisory resmi Node.js, CVE-2026-111497 merupakan kerentanan out-of-bounds write pada decoder Brotli, nan simpelnya gini guys, kondisi ini memungkinkan proses penulisan info melewati pemisah memori nan semestinya digunakan.

Brotli sendiri merupakan algoritma kompresi nan banyak digunakan untuk mengurangi ukuran data, termasuk dalam lampau lintas web, dan Node.js menyertakan penerapan decoder Brotli nan dapat digunakan aplikasi untuk memproses info terkompresi.

Namun masalah muncul ketika decoder memproses info Brotli nan dibuat secara unik untuk memicu kondisi tersebut, Akibatnya, proses Node.js dapat mengalami kerusakan memori nan berpotensi berujung pada aplikasi crash, kebocoran sebagian memori, alias eksekusi kode berbahaya.

Nah resikonya berjuntai pada kondisi aplikasi dan gimana info dari sumber nan tidak tepercaya mencapai decoder, nan berarti, bukan berfaedah semua website nan menggunakan Node.js otomatis bisa diretas begitu saja, melainkan aplikasi nan memproses info Brotli dari pihak luar perlu mendapat perhatian khusus.

Kenapa Kasus Ini Mengingatkan pada PHP2Shell?

Nah jika Anda mengikuti tulisan sebelumnya mengenai PHP2Shell, ada kesamaan krusial antara kedua kejadian ini.

PHP2Shell melibatkan dua kerentanan pada inti PHP nan berpotensi memungkinkan RCE, sementara itu, Node2Shell menyerang decoder Brotli nan dibundel berbareng runtime Node.js.

Perbedaannya terletak pada komponen nan bermasalah, lantaran pada kasus PHP2Shell, pengurus perlu memperbarui runtime PHP, sementara pada Node2Shell, pengurus kudu memperbarui runtime Node.js ke jenis nan sudah mendapatkan patch.

Keduanya juga tidak bisa diselesaikan hanya dengan memperbarui kode aplikasi alias package nan terlihat di package.json, lantaran kerentanan Node2Shell berada pada komponen runtime, sehingga menjalankan npm pembaruan saja belum tentu menyelesaikan masalah.

Nah inilah bagian nan perlu diperhatikan oleh developer maupun pengurus server, lantaran aplikasi mungkin tidak mempunyai kerentanan pada kode nan ditulis sendiri, tetapi tetap berisiko lantaran komponen inti nan digunakannya bermasalah.

Node.js Merilis Patch untuk Tiga Versi Utama

Dalam pembaruan keamanan pada 21 Oktober 2026, Node.js merilis jenis baru untuk tiga release line nan tetap didukung. Berikut jenis nan telah diperbaiki untuk Node2Shell:

Selain Node2Shell, pembaruan tersebut juga mencakup kerentanan lain nan berangkaian dengan pengesahan hostname sertifikat TLS, pemrosesan DNS, dan sejumlah komponen lainnya, nan secara keseluruhan, ada sepuluh masalah keamanan nan diperbaiki, dengan empat di antaranya dikategorikan berkeparahan tinggi oleh tim Node.js.

Developer nan Menggunakan Docker Juga Perlu Memeriksa Container

Nah selain itu guys, satu perihal nan sering terlewat adalah jenis Node.js nan melangkah di dalam container Docker, lantaran memperbarui Node.js pada host tidak otomatis memperbarui runtime nan sudah dibundel dalam image aplikasi.

Jika aplikasi menggunakan image lama, container tersebut tetap dapat menjalankan runtime nan rentan sampai image diperbarui dan container dibuat ulang menggunakan jenis nan sudah mendapatkan patch.

Untuk memeriksa jenis Node.js pada lingkungan nan sedang digunakan, jalankan:

Jika aplikasi melangkah di Docker, periksa juga jenis dari dalam container:

Ganti NAMA_CONTAINER dengan nama container aplikasi nan sebenarnya.

walah inimah udah end of life

Setelah itu, perbarui Node.js pada Dockerfile ke jenis nan sudah diperbaiki, rebuild ulang image, lampau deploy kembali aplikasi. Nah pastikan jenis runtime di lingkungan produksi betul-betul sudah berubah, bukan hanya jenis nan terpasang di mesin pengembangan.

Selain itu, pengurus perlu memeriksa aplikasi nan menerima request terkompresi, memproses info dari URL eksternal, alias menggunakan API Brotli dari modul node:zlib. Karena jalur tersebut dapat membantu menentukan aplikasi mana nan perlu diprioritaskan, tetapi bukan pengganti pembaruan keamanan.

Belum Ada Alasan untuk Panik, tetapi Jangan Menunda Patch

Nah peneliti keamanan telah memublikasikan demonstrasi teknis mengenai Node2Shell, dan dalam pengetesan lab nan dilaporkan, peneliti sukses menunjukkan eksekusi kode pada lingkungan Node.js nan belum diperbarui. Namun, hasil pemanfaatan dapat berbeda menurut versi, arsitektur, dan kondisi aplikasi.

Pada saat laporan awal diterbitkan, belum ada laporan pemanfaatan nan terkonfirmasi di bumi nyata. Meskipun begitu keberadaan demonstrasi teknis membikin pengurus sebaiknya tidak menunggu sampai muncul laporan serangan sebelum melakukan pembaruan.

Jadi untuk Anda pengelola website nan menggunakan Node.js, langkah paling krusial adalah menginventarisasi semua runtime Node.js nan digunakan, memperbarui jenis nan terdampak, membangun ulang container jika diperlukan, dan memastikan proses aplikasi betul-betul menjalankan runtime nan telah diperbaiki.

Yang jelas sih kasus Node2Shell juga memperpanjang daftar peringatan keamanan nan muncul pada Oktober ini, setelah PHP2Shell lebih dulu menjadi perhatian. Dua kasus tersebut bukan berfaedah seluruh internet sedang di hack, tetapi mengingatkan bahwa komponen inti seperti runtime dan library dapat menjadi titik akibat bagi banyak aplikasi sekaligus.

Nah gimana menurutmu? komen dibawah guys.

Via : The Hacker News