Hızlı cevap: Node.js 21 Ekim 2026 güvenlik sürümü toplam 10 açığı kapatır, bunların 4 tanesi yüksek önemdedir. Desteklenen hatları hemen 22.23.4 (LTS Jod), 24.22.1 (LTS Krypton) veya 26.12.1 (Current) sürümüne yükseltin. Sürümünüzü node -v ile kontrol edin, bu değerlerden eskiyse etkilenebilirsiniz. Docker kullanıyorsanız temel imajı yeniden oluşturun, yalnız takım paketini güncellemek üretimi değiştirmez. Node 18 ve 20 gibi ömrü biten hatlar yama almaz, bu sunucular için güncel bir LTS hattına göç şarttır.

Node.js ekosistemi, çalışma zamanı güvenlik duyurularını belirli tarihlerde toplu olarak yayımlar. 21 Ekim 2026 sürümü bu ritmin önemli bir örneği oldu, çünkü dört ayrı yüksek önemli açık aynı anda kapatıldı ve bunlardan biri uzaktan kod çalıştırmaya kadar gidebilen bir bellek hatasıydı. Bu yazı tek tek açıkların iç mekaniğini derinlemesine incelemek yerine, sürümün tamamını özetleyip size net bir aksiyon planı sunmayı amaçlar. Hangi sürüme çıkmanız gerektiğini, nasıl doğrulayacağınızı ve kapsayıcı tabanlı dağıtımlarda nelere dikkat etmeniz gerektiğini anlatıyoruz. Teknik derinlik için ilgili bölümlerde ayrıntı makalelerine yönlendiriyoruz.

Bu sürümde ne yamalandı

21 Ekim 2026 toplu sürümünde Node.js çekirdeği ve bağımlılıkları için on düzeltme yer aldı. Önem dağılımı şöyle: dört yüksek, üç orta ve üç düşük önemli açık. Buna ek olarak c-ares, OpenSSL, SQLite ve Undici gibi paketlerin bağımlılık güncellemeleri ile CA sertifika deposunda bir temizlik uygulandı. Sertifika tarafındaki değişiklik, bir ara sertifika otoritesinin (eMudhra) güven ihlali nedeniyle ilgili köklerin kaldırılmasını içeriyor.

Yüksek önemli dört açık, çoğu ekibin öncelik vermesi gereken grubu oluşturur. Aşağıdaki tablo bunların kimliğini, önem derecesini, kısa tanımını ve etkilenen sürüm hatlarını özetler.

CVE kimliği Önem Kısa açıklama Etkilenen hatlar
CVE-2026-111497 Yüksek Brotli kod çözücüde sınır dışı yazma, hazırlanmış sıkıştırılmış girdi ile uzaktan kod çalıştırmaya yol açabilir 26.x, 24.x, 22.x ve ömrü bitmiş hatlar
CVE-2026-106069 Yüksek Host gevşek biçimde bir IP adresine çözüldüğünde TLS sertifika hostname doğrulamasının atlatılması 26.x, 24.x, 22.x
CVE-2026-105483 Yüksek IP adresi tam genişlikli Unicode rakamlarla yazıldığında TLS hostname doğrulama atlatma 26.x, 24.x
CVE-2026-105482 Yüksek dns.resolve NUL karakteri içeren adları kırpar, çözülen ad çağıranın verdiğinden farklı olabilir 26.x, 24.x, 22.x

Brotli açığı bu grubun en ağırıdır, çünkü kod çalıştırma potansiyeli taşır ve kullanıcı girdisini sıkıştırılmış biçimde kabul eden her servisi ilgilendirir. Nasıl tetiklendiğini ve savunma yaklaşımını Brotli kod çözücü uzaktan kod çalıştırma açığı yazısında ayrıntılı ele alıyoruz. İki TLS hostname doğrulama açığı ise istemci tarafı güveni zayıflattığı için ayrı bir öneme sahiptir, bunların adres ayrıştırma mantığını nasıl kötüye kullandığını TLS hostname doğrulama atlatma açıkları yazısında açıklıyoruz.

Orta ve düşük önemli açıklar da ihmal edilmemeli. Orta grupta keep alive soketinin istek gönderilmeden önce yazılmış bir yanıtı işlemesi, standart dışı IPv4 hostname biçimlerinin yanlış doğrulanması ve crypto.randomUUID ile randomInt entropi önbelleklerinin başlangıç anlık görüntülerine kaydedilmesi gibi sorunlar var. Son madde özellikle anlık görüntü tabanlı veya tek dosya yürütülebilir dağıtımlarda aynı rastgele değerlerin üretilmesine yol açabilir. Düşük önemli üç açık ise çoğunlukla 26.x hattındaki İzin Modeli ve ZipFile davranışıyla ilgilidir.

Hangi sürüme yükselmelisiniz

Kural basittir. Desteklenen üç hattan hangisini kullanıyorsanız, o hattın yamalı sürümüne çıkın.

Hat Yamalı sürüm Açıklama
22.x 22.23.4 LTS Jod, uzun vadeli destek
24.x 24.22.1 LTS Krypton, uzun vadeli destek
26.x 26.12.1 Current, en güncel özellik hattı

Üretim yükleri için uzun vadeli destek hatlarından birinde kalmak genellikle en sağlıklı tercihtir. Yeni sürüme geçerken, sürüm eşleşmesinin tek başına kesin açık anlamına gelmediğini de bilin. Bir sürümün etkilenen aralıkta olması, o ortamın gerçekten sömürülebilir olduğunu kanıtlamaz, çünkü işletim sistemi dağıtımı geriye taşıma yamaları uygulamış veya yapılandırma bir yolu kapatmış olabilir. Yine de en güvenli ve en basit yol, yamalı sürüme yükselmektir.

Nasıl kontrol edilir ve yükseltilir

İlk adım mevcut sürümü görmektir. Terminalde node -v çalıştırın. Çıkan değer yukarıdaki yamalı sürümlerden eskiyse güncelleme yapmalısınız. Birden fazla makineniz veya kapsayıcınız varsa, aynı kontrolü dağıtım hattınızın bir adımı olarak otomatikleştirmek işe yarar.

Yükseltme yolunuz ortamınıza bağlıdır. Sürüm yöneticisi kullanıyorsanız ilgili LTS hattının en yeni yama sürümünü kurun ve uygulamanızı yeniden başlatın. Paket deposundan gelen sistem paketleri kullanıyorsanız, dağıtımınızın güvenlik güncellemelerini uygulayın ve sürümü yeniden doğrulayın. İş akışınızda güncellemeleri planlı ve izlenebilir biçimde yürütmek için yama yönetimi rehberimizden yararlanabilirsiniz.

Kapsayıcı tabanlı dağıtımlarda sık yapılan bir hata, yalnız yerel takım paketini güncelleyip üretimdeki imajın değişmediğini fark etmemektir. Üretim ortamınız bir Docker imajından çalışıyorsa, temel imajı güncel Node sürümüyle yeniden oluşturmanız ve yeniden dağıtmanız gerekir. Aksi halde yerel makineniz güncel görünse de çalışan kapsayıcı hâlâ eski ve açık bir sürümü barındırır. Çevreleyen web katmanının da sağlam yapılandırıldığından emin olmak için web sunucu sertleştirme rehberimize göz atabilirsiniz.

Ömrü biten hatlar için uyarı

Node 18 ve Node 20 gibi ömrü biten hatlar bu açıklardan etkilenir, ancak yama almaz. Node 20 destek sonu 2026 ortasında geldi, Node 18 ise daha önce destek dışına çıktı. Bu hatlarda çalışan sistemler için tek güvenli yol, desteklenen bir LTS hattına göç etmektir. Geçiş bir bakım işi değil, güvenlik gerekliliğidir, çünkü gelecek açıklar da bu eski hatlara ulaşmayacaktır.

Göç planını aceleye getirmeden ve üretimi kesintiye uğratmadan yürütmek mümkündür. Sürüm sonu risklerini ve göç stratejilerini ömrü biten çalışma zamanı riski yazısında ayrıntılı anlatıyoruz. Node bağımlılıklarınızın kaynağını ve bütünlüğünü korumak da ayrı bir disiplindir, bu konuda tedarik zinciri saldırılarına karşı savunma yazımız size yol gösterir.

KAOS ve DSET yaklaşımı

DSET değerlendirmelerinde çalışma zamanı sürümlerini önce DSET'in yerel yapay zekâ motoru KAOS ile tespit ediyoruz. KAOS hedef ortamdaki Node sürümünü yanıt başlıkları, hata izleri, dağıtım ipuçları ve erişilebilir uç noktalardan topladığı sinyallerle çıkarır. Ardından tespit edilen sürümü, 21 Ekim 2026 sürümünde kapatılan CVE kimlikleriyle eşler ve bilinen istismar edilen açık kataloglarına bakarak önceliklendirir.

Burada dürüst olmak önemlidir. Sürüm tespiti bir hipotezdir, kesin bir ihlal kanıtı değil. Bir ortamın etkilenen aralıkta görünmesi, gerçekten sömürülebilir olduğunu tek başına göstermez, çünkü geriye taşıma yamaları veya yapılandırma farkları sonucu değiştirebilir. Bu yüzden KAOS bulguları her zaman over claim frenine tabi tutulur, yani kanıtla desteklenmeyen kesinlik raporlanmaz. Kesin teyit, kontrollü ve yetkili bir ortamda yürütülen aktif doğrulamayı gerektirir. Bu ayrım, müşterilere gerçek risk ile teorik risk arasındaki farkı dürüstçe göstermemizi sağlar.

Ne yapmalı kontrol listesi

Aşağıdaki adımlar sürümün aksiyon özetidir. Sırayla ilerleyin.

İlk olarak tüm Node ortamlarında node -v çalıştırıp sürümleri envanterleyin. İkinci olarak desteklenen hatları 22.23.4, 24.22.1 veya 26.12.1 sürümüne yükseltin. Üçüncü olarak Docker imajlarını güncel Node temel imajıyla yeniden oluşturup yeniden dağıtın. Dördüncü olarak ömrü biten hatlarda çalışan sistemleri belirleyip göç planına alın. Beşinci olarak Brotli ve TLS açıklarının derin analizlerini okuyup kullanıcı girdisini sıkıştırılmış kabul eden veya giden TLS bağlantılarına güvenen servisleri önceliklendirin. Son olarak güncelleme işlemini dağıtım hattınıza izlenebilir bir adım olarak ekleyin, böylece bir sonraki toplu sürümde aynı süreci tekrar edebilirsiniz.

Sık sorulan sorular

Hemen yükseltmeli miyim yoksa bir sonraki bakım penceresini bekleyebilir miyim? Yüksek önemli dört açıktan biri uzaktan kod çalıştırma potansiyeli taşıdığı ve ikisi TLS güvenini zayıflattığı için, internete açık veya kullanıcı girdisi işleyen sistemlerde yükseltmeyi bir sonraki plansız fırsata değil en kısa kontrollü pencereye almanız önerilir. İç ağda izole ve düşük riskli servisler için risk değerlendirmesi yapıp planlı bir pencere seçebilirsiniz, ama erteleme süresini kısa tutun.

Node sürümüm etkilenen aralıkta görünüyor, bu kesin açık olduğum anlamına mı gelir? Hayır, sürüm eşleşmesi etkilenebilir olduğunuz anlamına gelir, kesin sömürülebilir olduğunuz değil. Dağıtımınız geriye taşıma yaması uygulamış, bir yapılandırma ilgili yolu kapatmış veya özellik hiç kullanılmıyor olabilir. En doğru yaklaşım, yine de yamalı sürüme çıkmak ve kesin teyit gerekiyorsa yetkili bir ortamda aktif doğrulama yürütmektir.

Node 18 veya 20 kullanıyorum, sadece yapılandırma sıkılaştırmasıyla idare edebilir miyim? Hayır, ömrü biten bu hatlar bu sürümden yama almadı ve gelecekte de almayacak. Yapılandırma sıkılaştırması bazı yolları kapatabilir ama açıkların tümünü ortadan kaldırmaz ve bir sonraki açıkta yine korumasız kalırsınız. Tek kalıcı çözüm, desteklenen bir LTS hattına göç etmektir, bunu bir bakım değil güvenlik önceliği olarak planlayın.

Kaynaklar

Node çalışma zamanınızı güncellemek, ömrü biten hatları göç planına almak veya ortamınızı bu açıklara karşı değerlendirmek için DSET ile iletişime geçin. Ekibimiz Ankara Hacettepe Teknokent merkezli olarak kurumsal güvenlik değerlendirmeleri ve yama yönetimi desteği sunar.