Bir sıkıştırma kütüphanesindeki düzeltme, onu kullanan bütün uygulamaları kendiliğinden güncellemez. Node2Shell adıyla anılan Brotli açığı, yapay zekâ destekli güvenlik araştırmasıyla yazılım bakımı arasındaki bu bağlantıyı gösteriyor.
Node.js’in 21 Ekim tarihli resmî duyurusu, CVE-2026-111497’yi Node.js içindeki Brotli çözücüsünde bellek sınırının dışına yazmaya izin veren yüksek önem dereceli bir açık olarak tanımlıyor. Brotli, veriyi daha küçük göndermeye yarayan bir sıkıştırma biçimi; çözücü bu veriyi tekrar açan parçadır.
Ne olabilir, hangi koşulda?
Duyuruya göre uygulamanın saldırganın kontrol ettiği bozuk Brotli verisini açması, çökme, süreç belleğinin açığa çıkması veya uzaktan kod çalıştırmayla sonuçlanabilir. Buradaki koşul, bu verinin etkilenen çözücüye ulaşmasıdır. Bir yazılım adının listede olması, her kurulumun ele geçirildiğini göstermez.
Node.js ekibi bildirimi OpenAI Codex Security’den Khai Tran ve Sylvie Mayer’e, düzeltmeyi ise mcollina ve aduh95’e atfediyor. Böylece bulguyu bildirmekle yamayı hazırlamanın katkıları ayrı görünür kalıyor.
Kaynak kodda düzeltmek, dağıtmak ve uygulamak
OpenAI’nin 23 Ekim açıklaması, temel hatanın şubatta kaynak kodda düzeltildiğini, o sırada güvenlik etkisinin bilinmediğini ve yeni Brotli sürümü yayımlanmadığını belirtiyor. OpenAI, kütüphaneyi içeren yazılımların ve onların kullanıcılarının da güncellemeyi alması gerektiğini söylüyor. Bu zaman çizelgesi şirketin açıklamasına dayanıyor.
Resmî Node.js yayını 22.23.4, 24.22.1 ve 26.12.1 sürümlerini listeliyor. Bunlar ilgili duyurunun düzeltme sürümleri; daha sonra çıkan uygun, desteklenen sürümler göz ardı edilmemeli.
Operatörün kontrolü nerede başlıyor?
Aikido’nun danışma yazısı, konteyner imajları ve paketlenmiş çalışma ortamlarının ayrıca kontrol edilmesini anlatıyor. Uygulamanın yanında gelen Node.js ile sistemdeki başka bir Node.js kurulumu aynı sürüm olmayabilir. Dağıtım paketlerinin kendi yamaları da değerlendirilmelidir.
Bu makale herhangi bir sisteme tarama veya saldırı uygulamadı. Kaynaktaki eski bir tarih için yazılmış saldırı durumu ifadesini bugünün tüm ortamlarına genellemiyoruz.
Theo’nun değerlendirmesi
Tamamlanmış bir bakım kaydı, duyurunun bağlantısından fazlasını içermeli: Hangi bileşenin kullanıldığı, hangi düzeltmenin uygulandığı ve yeniden başlatılan hizmetin gerçekten hangi sürümü çalıştırdığı. Bu önerilen kontrol, AI bulgusunu gerçek korumaya bağlayan son adımı görünür kılar; tek başına hatasızlık garantisi değildir.
