Update Keamanan Node.js November 2026: Persiapan Sebelum 11 November

Pada 3 November 2026, tim Node.js mengumumkan rilis keamanan berikutnya. Versi baru untuk 26.x, 24.x, dan 22.x dijadwalkan keluar pada atau tidak lama setelah Rabu, 11 November, dan ketiganya akan mendapat setidaknya satu perbaikan berstatus high. Rilis ini datang hanya tiga minggu setelah rilis Oktober, yang menambal sepuluh celah, termasuk bug Brotli yang bisa berujung remote code execution. Detail celahnya baru dibuka saat rilis, tetapi bukan berarti belum ada yang bisa dikerjakan. Sebagian besar pekerjaan update keamanan ada di persiapan, dan bagian itu bisa diselesaikan minggu ini.

Apa yang Sudah Diumumkan

Pengumuman awalnya memang sengaja singkat. Isinya hanya versi yang terdampak dan tingkat severity tertinggi di masing-masing versi.

Tim Node.js juga kembali mengingatkan bahwa versi yang sudah end of life selalu ikut terdampak setiap kali ada rilis keamanan. Server yang masih memakai Node.js 20, atau versi ganjil 25 yang masa dukungannya memang pendek, akan tetap rentan terhadap celah yang ditambal minggu depan, ditambah celah dari rilis Oktober.

Kenapa Detailnya Belum Dibuka

Seperti kebanyakan proyek open source besar, Node.js merahasiakan laporan celah keamanan sampai perbaikannya siap, lalu merilis advisory dan binary yang sudah ditambal secara bersamaan. Pengumuman awal ini dibuat agar tim bisa menyiapkan waktu untuk update tanpa memberi penyerang gambaran tentang bug-nya beberapa hari sebelum perbaikan tersedia. Nomor CVE, penjelasan, dan fitur yang terdampak baru akan muncul di blog Node.js saat rilis keluar.

Artinya, saat ini belum bisa dipastikan apakah celahnya berdampak pada aplikasi web pada umumnya atau hanya pada fitur tertentu. Di rilis Oktober, tiga dari empat celah high ada di validasi hostname dan sertifikat, dan satu lagi bisa menjangkau aplikasi apa pun yang mengambil konten dari URL masukan pengguna. Sampai advisory-nya terbit, anggap saja semua layanan Node.js perlu di-update.

Yang Bisa Dikerjakan Minggu Ini

Update keamanan berjalan lancar kalau di hari rilis yang tersisa tinggal mengganti nomor versi lalu deploy. Langkah-langkah berikut membantu sampai ke kondisi itu.

1. 1Data semua layanan yang berjalan di Node.js beserta versi yang benar-benar dipakai: API server, frontend Next.js dan Nuxt, background worker, cron job, tool internal, dan runner CI. Versi yang tertulis di package.json atau .nvmrc belum tentu sama dengan yang berjalan di production.
2. 2Naikkan setiap layanan ke rilis terbaru di versi mayornya sekarang juga: v26.13.0, v24.22.2, atau v22.23.4. Rilis keamanan biasanya dibuat di atas versi terbaru setiap jalur, sehingga layanan yang sudah mutakhir hanya perlu satu langkah patch kecil minggu depan, bukan beberapa rilis sekaligus yang ikut membawa perubahan lain.
3. 3Periksa cara image container Anda mengambil Node.js. Image yang memakai FROM node:24-alpine akan mendapat perbaikan setelah di-build ulang, sedangkan image yang dikunci ke versi atau digest tertentu harus diganti tag-nya secara manual. Catat repositori mana yang memakai cara mana.
4. 4Lakukan uji coba build ulang: jalankan pipeline untuk satu layanan tanpa perubahan kode dan catat berapa lama sampai ke production. Kalau prosesnya lambat atau masih butuh langkah manual, perbaiki sebelum rilis, bukan saat rilis.
5. 5Jadwalkan waktu maintenance. Tergantung jam rilisnya, di Indonesia update ini bisa tiba larut malam 11 November atau pagi 12 November WIB, dan tanggalnya sendiri bisa mundur sehari. Jadwal pada 12 atau 13 November memberi ruang untuk kedua kemungkinan itu.
6. 6Pastikan ada orang di tim yang berlangganan milis nodejs-sec atau memantau blog Node.js, supaya advisory-nya langsung dibaca di hari terbitnya.

Jangan Digabung dengan Upgrade Versi Mayor

Node.js 26 baru berstatus LTS seminggu yang lalu, dan sebagian tim memang menunggu momen itu untuk pindah dari 22 atau 24. Migrasi itu layak dilakukan, tetapi jangan dijadikan satu dengan update keamanan ini. Versi mayor baru membawa breaking change sendiri, misalnya native addon yang harus di-build ulang dan modul lama yang sudah dihapus. Men-debug masalah seperti itu sambil dikejar waktu adalah cara paling cepat mengubah hari patch menjadi downtime. Tambal dulu versi yang sedang dipakai, lalu rencanakan perpindahan ke 26 dengan jadwalnya sendiri.

Pengecualiannya adalah layanan yang masih memakai Node.js 20 atau 25. Versi itu sama sekali tidak akan mendapat patch, jadi satu-satunya cara memperbaikinya adalah pindah ke versi yang masih didukung. Kalau itu tidak mungkin selesai sebelum 11 November, setidaknya kurangi eksposurnya untuk sementara, misalnya dengan tidak membukanya ke internet publik atau menaruhnya di belakang proxy yang membatasi trafik yang masuk.

Saat Hari Rilis

• Baca advisory-nya lebih dulu. Di sana tercantum setiap CVE beserta versi dan fitur yang terdampak, sehingga Anda bisa menentukan urutan prioritas: layanan publik yang memakai fitur terdampak didahulukan, tool internal bisa menyusul.
• Server dengan nvm atau version manager sejenis: pasang versi baru, arahkan unit systemd atau konfigurasi PM2 ke versi tersebut, lalu restart. Path yang masih menunjuk ke versi lama akan tetap menjalankan binary lama.
• Paket dari NodeSource atau distro Linux: update seperti biasa, tetapi cek security notice distro untuk memastikan nomor CVE-nya tercantum. Paket distro kadang tetap menampilkan nomor versi lama walau perbaikannya sudah masuk, dan kadang baru tersedia beberapa hari kemudian.
• Docker: tunggu sampai image resmi node di-build ulang dengan versi baru, yang biasanya terjadi dalam sehari, lalu build ulang dan deploy semua image Anda.
• Runtime terkelola seperti AWS Lambda atau Vercel: penyedia akan memperbarui runtime yang masih didukung, biasanya dalam beberapa hari. Pastikan versi mayor yang Anda pakai masih didukung, dan deploy ulang jika platform memintanya.
• Restart semua proses yang berjalan lama, lalu cek versi yang benar-benar berjalan, misalnya dengan mencatat process.version di log saat aplikasi start atau menampilkannya di endpoint health check internal.

Enam Rilis Keamanan dalam Setahun

Ini akan menjadi rilis keamanan Node.js keenam sepanjang 2026, setelah Januari, Maret, Juni, Juli, dan Oktober. Dengan frekuensi seperti itu, menangani setiap rilis sebagai proyek khusus tidak akan berkelanjutan. Tim yang bisa menghadapinya dengan tenang biasanya punya catatan versi Node.js di setiap layanan, base image yang di-build ulang secara terjadwal, dan pipeline yang bisa mengirim update runtime sendiri tanpa menunggu rilis fitur. Artikel ini akan kami perbarui dengan detail CVE setelah advisory-nya terbit. Jika Anda butuh bantuan menyiapkan layanan Node.js untuk rilis ini, atau memindahkannya dari Node.js 20, tim managed service kami siap membantu.