Node.js'teki kod çalıştırma açığının kaynağı Brotli çözücüsü Bun, .NET ve Python'ı da etkiliyor

Açık 21 Ekim'de duyuruldu, etkisi ürün ürün genişledi

Node.js, 21 Ekim 2026 tarihli güvenlik sürümlerinde (22.23.4, 24.22.1 ve 26.12.1) Brotli çözücüsündeki bir yazma hatasını kapattı ve CVE-2026-111497'yi yüksek önem derecesiyle listeledi. Aynı gün Google, Brotli kütüphanesinin 1.0.10, 1.1.1 ve 1.2.1 sürümlerini yayımladı; 1.2.1 sürüm notundaki güvenlik bölümü açığı "out-of-bounds write permits remote code execution" diye tanımlıyor. Node.js'e göre açığı OpenAI Codex Security ekibinden Khai Tran ve Sylvie Mayer bildirdi.

The Hacker News'in 24 Ekim'de yayımlayıp 26 Ekim'de güncellediği haber, sorunun o tarihten beri ürün ürün genişlediğini anlatıyor. Habere göre etkilenenler arasında Bun, Microsoft'un .NET'i, Python'ın Brotli ve brotlicffi paketleri ile Brotli açmaya ayarlı Envoy proxy'leri var. Microsoft 25 Ekim'de .NET için olağanüstü güncellemeler yayımladı; Cloudflare da aynı gün yönetilen güvenlik duvarı kural setine iki kural ekledi.

Hangi yazılım etkileniyor, hangi sürüm düzeltiyor

Node.js duyurusuna göre hata, geçersiz bir blok geçişinin kalıcı biçim hatası yerine "daha fazla girdi gerekli" sayılması yüzünden akış çözücünün sekiz baytlık iç tampona veri eklemeyi sürdürmesinden doğuyor. Uygulamanın node:zlib ile açtığı saldırgan kaynaklı veri bellek bozulmasına, çökmeye, bellek içeriğinin sızmasına veya uzaktan kod çalıştırmaya yol açabiliyor; 22.x, 24.x ve 26.x hatları etkileniyor. The Hacker News tablosuna göre Bun 1.4.3 ve öncesi 1.4.4 ile, Python Brotli paketi 1.2.0 ve öncesi 1.2.1 ile düzeliyor. .NET için düzeltmeler 8.0.33, 9.0.22 ve 10.0.14 sürümlerinde, .NET 11 ise RC3'te; Microsoft'un duyurusuna göre .NET Framework etkilenmiyor. Envoy düzeltmeleri 1.36.12, 1.37.8, 1.38.6, 1.39.3 ve 1.40.0 sürümlerinde.

Her yazılım çözücünün kendi kopyasını taşıdığı için tek bir güncelleme hepsini kapatmıyor. Risk kullanıma bağlı: Node.js ve Bun'da fetch() ile br kodlamalı bir yanıt okunduğunda ya da Express 5 ve body-parser 2 gibi kodlar Brotli ile gelen istek gövdesini açtığında açığa ulaşılıyor; düz bir Node.js HTTP sunucusu gövdeyi kendiliğinden açmıyor. .NET'te ASP.NET Core istek açma veya HttpClient yanıt açma ayarında Brotli etkinse ya da BrotliStream gibi API'lere güvenilmeyen veri veriliyorsa risk var; bu ayarlar varsayılan olarak kapalı. Python'da paket kuruluysa requests, urllib3, httpx ve aiohttp gibi istemciler Brotli yanıtlarını kendiliğinden çözüyor.

Ciddiyet puanları farklı, saldırı bildirilmedi, güncelleme gerekli

Puan, puanlayana göre değişiyor: CVE'yi atayan Google CVSS 4.0'da 9,2 (kritik) veriyor, Node.js yüksek diyor, Red Hat ve Microsoft (.NET için) 8,1 veriyor. Imperva Red Team, Node2Shell adını verdiği çalışmada Linux ARM64 için derlenmiş değiştirilmemiş bir Node.js 24.22.0 üzerinde kod çalıştırmayı gösterdi; istismar kodu yayımlanmadı. Microsoft ise .NET için olası sonuçları bilgi sızması, hizmet kesintisi ve yetki yükseltme olarak sayıyor, uzaktan kod çalıştırmayı listelemiyor. CISA'nın 23 Ekim değerlendirmesinde istismar yok, otomatikleştirilebilirlik hayır olarak kayıtlı ve vahşi doğada saldırı bildirilmedi.

The Hacker News'in aktardığına göre OpenAI ve güvenlik şirketi Aikido, geçici önlem olarak br içerik kodlamalı istekleri ayrıştırmadan önce reddetmeyi veya HTTP istemcilerinde otomatik Brotli çözmeyi kapatmayı öneriyor. Accept-Encoding başlığından br'yi çıkarmak tek başına işe yaramıyor, çünkü sunucu istemci ne isterse istesin Brotli gönderebilir. Habere göre Node.js için yayımlanmış bir geçici çözüm yok, tek yol çalışma zamanını güncellemek. Güncelleme sonrasında çalışan süreç eski çözücüyü tuttuğu için servisi yeniden başlatmak ve konteyner imajlarını yeniden oluşturmak gerekiyor; self-contained ve NativeAOT .NET uygulamaları da yeniden derlenmeli. Cloudflare'in iki kuralı varsayılan olarak yalnızca kayıt tutuyor, engellemiyor. Brotli kuralı meşru Brotli istek gövdelerini de eşleştirebiliyor; Next.js kuralı /_next/image uç noktasını hedefliyor ve engellemeye çevrilirse optimize edilmiş görsellerin yüklenmesini bozabilir.

Kaynaklarda Türkiye yok, bu bölüm UNALSOFT yorumu

Dört kaynağın hiçbirinde Türkiye geçmiyor: ne yerel bir etkilenen kurum, ne Türkiye'deki sunucularla ilgili bir sayı, ne de bir ulusal kurumun açıklaması var. Bu yüzden bu bölüm kaynaklardan çıkan bir olgu değil, açıkça UNALSOFT yorumudur.

Yorumumuz şu: Node.js, Next.js veya .NET ile yazılmış özel panel, API ve e-ticaret arka ucu kullanan bir işletmenin hangi çalışma zamanı sürümünde olduğunu bilmesi gerekir. Bu açık bir WordPress eklentisi gibi panelden tek tıkla kapanmıyor; geliştiriciye ya da barındırma sağlayıcısına sürümü sormak ve güncellemeden sonra yeniden başlatmanın yapıldığını teyit etmek gerekiyor. Bilinmeyenleri de saymak gerekiyor: Türkiye'de kaç sitenin etkilendiği, yerel barındırma sağlayıcılarının hangi sürümde olduğu ve bir yerel kurumun konuya değinip değinmeyeceği kaynaklarda yer almıyor. Benzer bir acil yama için 21 Ekim'deki PHP sürümü yazımıza bakılabilir.

Kaynaklar

Node.js · GitHub google/brotli releases · Cloudflare Developers changelog · The Hacker News