Node.js, HTTP/2 ve HTTPS Sunucularındaki 16 Güvenlik Açığını Giderdi

Node.js, HTTP/2 ve HTTPS Sunucularındaki 16 Güvenlik Açığını Giderdi

Node.js, Kasım 2026’da yayınladığı güvenlik güncellemeleriyle, çalışma zamanının yerleşik HTTP/2 ve HTTPS desteğini kullanan sunucuları etkileyen toplam 16 güvenlik açığını giderdi. Bu açıklar arasında, kimliği doğrulanmamış istemcilerin sunucuları çökertmesine ve diğer bağlantıların verilerini sızdırmasına neden olabilecek kritik sorunlar bulunuyor.

Düzeltilen sürümler, desteklenen tüm hatlar için yayınlandı: 22.23.5, 24.22.3 ve 26.13.1.

Kritik HTTP/2 ve HTTPS Güvenlik Açıkları

Bu hafta düzeltilen hatalardan biri olan CVE-2026-123863, kimliği doğrulanmamış istemcilerin, 24.x ve 26.x sürüm hatlarında Node.js’in yerleşik HTTP/2 desteğini kullanan sunucuları çökertmesine olanak tanıyor. Bu açık, istek gövdesi tamamen ulaşmadan önce yanıt veren varsayılan bir HTTP/2 sunucusu gerektiriyor. Node.js projesi, bu davranışın tipik olduğunu belirtiyor. Çökme, hem TLS hem de şifresiz bağlantılar üzerinden gerçekleşebiliyor.

İkinci bir HTTP/2 açığı olan CVE-2026-123866, sunucunun istemciye kendi belleğinin parçalarını, diğer bağlantılar için tasarlanmış yanıtlar da dahil olmak üzere göndermesine neden olabiliyor. Bu açık, desteklenen tüm üç hattı etkiliyor. 24.22.0 ve 26.9.0’dan itibaren, bir istemci tek başına bu açığı tetikleyebilir. 22.x ve daha eski 24.x ve 26.x yapılarında ise, sunucunun bir yanıtın ortasında bir akışı kapatması durumunda (örneğin, boşta kalma süresi dolduktan sonra) tetiklenebilir.

Node.js HTTPS sunucularındaki ayrı bir açık olan CVE-2026-123864, kimliği doğrulanmamış bir istemcinin diğer bağlantılardan bellek okumasına izin verebilir. Proje, bunun “TLS özel anahtarları ve diğer kullanıcıların istekleri” dahil olmak üzere hassas verileri içerebileceğini belirtiyor. Bu açık da desteklenen tüm üç hattı etkiliyor.

Bu açık, istek gövdesi tamamen ulaşmadan önce res.flushHeaders() çağrısı yapan ve daha sonra veriyle res.end() çağrısı yapan bir işleyici gerektiriyor. Sızdırılan belleği okumak için ayrıca bir istek gövdesini geri gönderen veya depolayan bir rotaya ihtiyaç duyuluyor. node:http ile oluşturulan düz HTTP sunucuları bu açıktan etkilenmiyor.

Diğer Yüksek Dereceli Güvenlik Açıkları

Bu sürüm, Node.js’in kendisinde bulunan 16 güvenlik açığını düzeltiyor. Bunlardan yedisi yüksek dereceli olarak sınıflandırıldı. Diğer dört yüksek dereceli açık ve etkiledikleri sunucular şunlardır:

• CVE-2026-123865: Bir istemci, tüm üç hatta varsayılan herhangi bir HTTP/2 sunucusunun belleği ve dosya tanımlayıcılarını kalıcı olarak tutmasına neden olabilir.
• CVE-2026-123874: Bir istemci, sunucu stream.respondWithFile() veya stream.respondWithFD() ile dosya sunarken 24.x ve 26.x’te sunucu belleğini bozabilir. Tüm üç hatta, bu tür indirmelerin iptal edilmesi de sunucuyu çökertabilir (CVE-2026-123875, orta dereceli).
• CVE-2026-126051: Bir istemci, sunucu SNICallback, OCSPRequest, newSession veya resumeSession kancalarını veya server.addContext() kullanıyorsa 24.x ve 26.x’te bir TLS sunucusunu çökertabilir.
• CVE-2026-123872: Bazı ana bilgisayar adları için daha katı istemci sertifikası kurallarına sahip bir TLS sunucusunda, başka bir ana bilgisayar adı için onaylanmış bir istemci, TLS 1.2 yeniden anlaşması sırasında kurallarına uymadan daha katı bir ana bilgisayar adına geçebilir. Tüm üç hat etkilenir.

Yukarıdaki sekiz açık, Node.js’in kendi HTTP/2, HTTPS ve TLS sunucu kodunda yer alıyor. Bu nedenle, bir Node.js sürecinin bu bağlantıları kendisinin kabul ettiği durumlarda önem taşıyor.

Güncelleme ve Öneriler

Projenin güvenlik danışmanlığında belirtilen tek çözüm, her hat için düzeltilmiş sürüme güncellemektir. Henüz güncelleyemeyen sunucular için herhangi bir geçici çözüm listelenmemiştir.

20.x ve 25.x dahil olmak üzere kullanım ömrü sona ermiş hatlar bu sürümde düzeltme almamıştır. Proje, bu tür sürümlerin her zaman etkilendiğini belirtmektedir.

Danışmanlık, açıkların kullanıldığı herhangi bir saldırı bildirmemektedir. Ayrıca, HTTPS açığı için koşulları karşılayan sunucuların güncelledikten sonra TLS anahtarlarını veya diğer sırlarını değiştirmesi gerekip gerekmediği konusunda da bilgi verilmemiştir.

CVE-2026-123863 ve CVE-2026-123864 dahil olmak üzere beş açık, danışmanlığa göre Chris Rohlf tarafından Claude ve Anthropic Research ile işbirliği içinde rapor edilmiştir.