Modern web mimarilerinde backend omurgamızı emanet ettiğimiz Node.js için geçtiğimiz günlerde kritik bir güvenlik bülteni paylaşıldı. Süreçleri yakından takip eden bir web geliştirici ve siber güvenlik araştırmacısı olarak, yayımlanan teknik verileri doğrudan masaya yatırdım.
Node.js geliştirici ekibi; 26.x, 24.x ve 22.x ana dağıtım hatlarını etkileyen, uzaktan kod çalıştırmadan (RCE) TLS sertifika denetim atlatmalarına kadar uzanan bir dizi açığı kapattı. Geliştirdiğim projelerde ve danışmanlık süreçlerimde sıkça vurguladığım gibi: Uygulama kodunuz ne kadar güvenli olursa olsun, altyapınızdaki çekirdek çalışma zamanı (runtime) güncel değilse sisteminiz her zaman tehdit altındadır.
Bu yazıda teknik jargonun arkasındaki tehlikeleri, sistemlerimizi nasıl etkilediğini ve acil atılması gereken adımları kendi analizlerimle derledim.
1. Zafiyet Raporu: Tehlikenin Boyutu Nedir?
Node.js çekirdeği hem kendi dahili fonksiyonlarındaki mantık hataları hem de kullandığı alt kütüphaneler (c-ares, OpenSSL, Undici, SQLite) kaynaklı olarak ciddi bir güvenlik testinden geçti. Karşılaşılan riskleri etki seviyelerine göre 3 ana başlıkta inceleyebiliriz:
Yüksek Kritiklikteki Riskler (High Severity)
Brotli Dekoderinde Bellek Taşması ve RCE (CVE-2026-111497)
Node.js'in veri sıkıştırma kütüphanesinde (node:zlib) tespit edilen mantık hatası, arızalı bir blok geçişini kalıcı bir hata yerine "geçici eksik veri" gibi yorumluyordu. Akış işlemcisi veriyi 8 baytlık dahili arabelleğe yazmaya devam ettikçe bellek sınırları aşılabiliyor. Bu durum saldırgana süreci çökertme (DoS) veya bellek üzerinde uzaktan kod çalıştırma (RCE) yetkisi tanıyor.
DNS Zehirlemesine Kapı Açan NUL Karakteri (CVE-2026-105482)
Uygulamanız gelen alan adını bir beyaz listeyle (allowlist) kontrol etse bile, dns.resolve*() fonksiyonu C dili temelli c-ares kütüphanesine giderken NUL (\0) karakterinden sonrasını görmezden geliyordu. Yani siz attacker.com\0.guvenli-alanadi.com kontrolü yapıp onay verseniz dahi, Node.js sorguyu doğrudan attacker.com üzerinden çözüyordu. Bu durum katı erişim kısıtlamalarını devre dışı bırakıyor.
Karakter Hilesiyle TLS Sertifikası Atlatma (CVE-2026-105483 & CVE-2026-106069)
Saldırganlar tam genişlikli karakterlerle (örneğin １２７.0.0.1) veya başında sıfır bulunan sekizlik (octal) IP formatlarıyla (0127.0.0.1) istek attığında, Node.js'in adres çözümleyicisi ile işletim sisteminin bakış açısı çakışıyordu. Sonuç? Aslında o adrese ait olmayan TLS/DNS sertifikaları geçerli sayılarak ortadaki adam (MitM) saldırılarına geçit verilebiliyordu.
Orta Seviyeli Riskler (Medium Severity)
Önbelleğe Sızan Sahte Rastgelelik (CVE-2026-106074)
Tek yürütülebilir uygulamalar (SEA) veya başlangıç anlık görüntüleri (--build-snapshot) derlenirken üretilen crypto.randomUUID() ve randomInt() entropi değerleri snapshot içine gömülüyordu. Bu da o imajdan doğan tüm süreçlerin ilk 127 UUID veya yaklaşık 1.000 rastgele sayı için birebir aynı kimlikleri üretmesine neden oluyordu.
Keep-Alive Soketlerinde İstek Karışması (CVE-2026-105481)
Boşta bekleyen bağlantı soketleri, yoğun iş yükü altında istemci henüz yeni bir istek göndermeden sunucudan gelen bayat veriyi yeni isteğin yanıtıymış gibi istemciye teslim edebiliyordu. Bu durum HTTP yanıt karışmasına (Response Smuggling / Desync) ve hassas veri sızıntılarına zemin hazırlıyor.
Düşük Seviyeli Riskler (Low Severity)
İzin Modeli (Permission Model) Delikleri
Deneysel izin kısıtlamalarında (--permission) dosya yolu okuma denetimleri fs.realpathSync ve joker karakterli (*) yollarda sınır aşımına (Path Traversal) izin veriyordu.
2. Hangi Sürüm Nereye Yükseltilmeli?
Sistem yöneticilerinin ve geliştiricilerin üretim sunucularında hemen aksiyon alması gereken minimum yama sürümleri netleşti:
| Kullandığınız Sürüm Ailesi | Geçmeniz Gereken Güvenli Sürüm |
|---|---|
| Node.js 22.x (LTS) | v22.23.4 |
| Node.js 24.x (LTS) | v24.22.1 |
| Node.js 26.x (Current) | v26.12.1 |
Mevcut sürümünüzü kontrol etmek için terminalinize şu komutu vermeniz yeterlidir:
Bash
node -v
Eğer sürümünüz yukarıdaki tablonun altında kalıyorsa, derhal nvm, Docker taban imajı güncellemesi veya paket yöneticiniz üzerinden versiyon yükseltme adımlarını tamamlayın.
Acil Geçici Önlem (Workaround): Üretim ortamınızda sürüm yükseltmesini anında gerçekleştiremiyorsanız, geçici önlem olarak uygulama katmanında veya WAF (Cloudflare, Nginx vb.) seviyesinde kullanıcıdan gelen URL/Host girdilerinde NUL byte (\0 veya %00) ile standart dışı IP formatlarını sıkı bir Regex filtresinden geçirdiğinizden emin olun.
3. Siber Güvenlik Açısından Altyapımızı Nasıl Koruruz?
Bu tarz zafiyetler bize gösteriyor ki; sadece temiz kod yazmak yetmez, çalışma ortamının yaşam döngüsünü (runtime lifecycle) de proaktif olarak yönetmek zorundayız.
- Bağımlılık ve Runtime Taraması (Dependency Audit): CI/CD süreçlerinizde yalnızca npm audit ile paketlerinizi değil, konteyner ve runtime sürümlerinizi otomatik tarayan araçları (Trivy, Snyk vb.) pipeline aşamasına entegre edin.
- Güvenilir Kaynak Takibi: Güvenlik yamalarını resmi kanallardan takip etmek güvenlik zincirinin ilk adımıdır. Detaylı güvenlik politikaları ve zafiyet bildirim kuralları için doğrudan Resmi Node.js Güvenlik Merkezi sayfasına göz atabilirsiniz.
- EOL (Ömrü Dolan) Sürümleri Terk Edin: Destek süresi bitmiş eski sürümler bu yamaları almaz. Mutlaka aktif desteklenen güncel LTS dağıtımlarında kalın.
Sonuç: Güvenlik İhmale Gelmez
Web uygulamalarında siber güvenlik, sonradan eklenen bir özellik değil; projenin temel harcıdır. Sunucu tarafında meydana gelebilecek küçük bir bellek sızıntısı veya adres çözümleme açığı, tüm kullanıcı verilerinizi riske atabilir.
Web projelerinizin altyapısını modernize etmek, mimari güvenlik denetimlerini gerçekleştirmek veya güvenli uçtan uca web çözümleri geliştirmek isterseniz İletişim sayfası üzerinden benimle dilediğiniz zaman iletişime geçebilirsiniz.
