Ekim 2026 Node.js güvenlik açıkları: Azure DevOps ve .NET için yama rehberi
Node.js projesi 21 Ekim 2026'da 10 güvenlik açığını kapatan sürümleri yayımladı: 22.23.4, 24.22.1 ve 26.12.1. Azure DevOps ekibi, pipeline agent'larından pipeline içinde seçilen Node.js sürümlerine ve konteyner imajlarına kadar her katmanın ayrı bir güncelleme yolu olduğunu hatırlatıyor. Aynı Brotli bellek bozulması sorunu (CVE-2026-111497) modern .NET'i de etkiliyor; düzeltilmiş runtime taban çizgileri 8.0.33, 9.0.22 ve 10.0.14.
Kilit noktalar
- Yamalar 22.23.4, 24.22.1 ve 26.12.1 sürümlerinde; etkilenen branch ve önkoşullar CVE bazında farklı
- CVE-2026-111497 Brotli açma hatası bellek bozulmasına ve potansiyel kod yürütmeye yol açabilir
- Agent v5.281.1 Node24'ü 24.22.1'e taşıyor ama her platform paketinde bulunmuyor
- UseNode@1 ve NodeTool@0'da checkLatest varsayılan false; 24.x eski bir patch seçebilir, node --version ile doğrulayın
- Modern .NET düzeltmeleri 8.0.33, 9.0.22 ve 10.0.14; .NET Framework bu advisory'den etkilenmiyor
- Konteyner imajları ve dağıtılmış uygulamalar agent güncellemesiyle düzelmez, ayrı rebuild/deploy gerekir
Node.js 21 Ekim 2026'da 22.23.4, 24.22.1 ve 26.12.1 sürümleriyle 10 açık için yama yayımladı. En kritik olan CVE-2026-111497: saldırgan kontrollü bozuk veri etkilenen Brotli decoder'ına ulaşırsa bellek bozulması ve potansiyel kod yürütme mümkün. DNS adı kesme, sertifika kimlik kontrolünü atlatma, keep-alive bağlantısında istenmeyen verinin yanıt sayılması ve Permission Model'de fazla yetki veren wildcard kuralları da listede.
Pipeline'da Node.js birden çok yerde çalıştığı için tek güncelleme yetmiyor. Agent v5.281.1 Node24'ü 24.22.1'e taşıyor ama her platform paketinde yok; UseNode@1 ve NodeTool@0'da checkLatest varsayılan false olduğundan 24.x eski patch seçebilir. Aynı CVE modern .NET'te 8.0.33, 9.0.22 ve 10.0.14 taban çizgileriyle kapatıldı; framework-dependent uygulamalarda paylaşılan runtime güncellenmeli, self-contained ve NativeAOT uygulamalar yeni SDK ile yeniden derlenmeli.
Gerçek dünyada kullanımı
- Self-hosted agent havuzlarını işleten bir ekip, agent v5.281.1'e geçip task tanılamalarında seçilen Node sürümünü doğrulamak istediğinde
- Birden fazla repoda UseNode@1 ile Node 24 kullanan bir kuruluş, geniş sürüm aralığı yerine sabitlenmiş bir patch seçmek istediğinde
- Brotli istek/yanıt açma özelliği açık bir ASP.NET Core API'sinin paylaşılan runtime'ını 8.0.33 veya 10.0.14'e yükseltmesi gerektiğinde
- NativeAOT ile yayımlanan bir servis, yamalı SDK ve runtime pack'lerle yeniden derlenip yeniden dağıtılması gerektiğinde
Neden önemli
Aynı Brotli açığı hem build pipeline'larını hem de üretimdeki .NET servislerini ilgilendiriyor; agent, task seçimi, imaj ve uygulama runtime'ı ayrı ayrı doğrulanmazsa yama eksik kalır.