CISA Peringatkan Celah Kritis Node2Shell CVE-2026-111497 Sudah Dieksploitasi Hacker, Server Diminta Segera Update
Cybersecurity and Infrastructure Security Agency (CISA) Amerika Serikat mengeluarkan peringatan keamanan setelah mengonfirmasi bahwa celah serius CVE-2026-111497, yang dikenal sebagai Node2Shell, kini telah dieksploitasi secara aktif oleh pelaku ancaman siber.
Kerentanan tersebut ditemukan pada komponen decoder Brotli yang digunakan oleh Node.js dan sejumlah platform software lainnya. Dalam kondisi tertentu, celah ini memungkinkan penyerang tanpa autentikasi merusak memori aplikasi, menyebabkan gangguan layanan, mengakses informasi sensitif, hingga berpotensi menjalankan kode berbahaya dari jarak jauh atau Remote Code Execution (RCE).
Pada 27 Oktober 2026, CISA secara resmi memasukkan CVE-2026-111497 ke dalam Known Exploited Vulnerabilities (KEV) Catalog, daftar kerentanan yang telah memiliki bukti eksploitasi di dunia nyata.
Penambahan tersebut meningkatkan urgensi penanganan karena ancamannya tidak lagi terbatas pada kemungkinan eksploitasi secara teoritis.
CISA juga mewajibkan lembaga pemerintah federal Amerika Serikat yang tercakup dalam ketentuan terkait untuk menyelesaikan proses mitigasi paling lambat 10 November 2026.
Meski kewajiban tersebut ditujukan kepada instansi pemerintah federal Amerika Serikat, organisasi swasta dan administrator sistem di seluruh dunia turut disarankan segera memeriksa infrastruktur yang menggunakan komponen Brotli.
Apa Itu Node2Shell CVE-2026-111497?
Node2Shell merupakan nama yang digunakan peneliti keamanan untuk menggambarkan kerentanan pada implementasi decoder algoritma kompresi Brotli.
Celah ini juga dikenal dengan beberapa nama lain, termasuk Broccoli2Shell dan HTTP2Shell.
Brotli sendiri merupakan algoritma kompresi data lossless yang dikembangkan Google dan digunakan secara luas untuk mengurangi ukuran data yang ditransmisikan melalui jaringan.
Teknologi tersebut banyak ditemukan dalam komunikasi HTTP, aplikasi web, API, serta berbagai library pemrosesan data.
Dengan menggunakan Brotli, server dapat mengompresi konten seperti HTML, CSS, JavaScript, dan data lain sebelum mengirimkannya kepada client.
Client kemudian melakukan dekompresi agar data dapat diproses atau ditampilkan dalam bentuk aslinya.
Pendekatan ini membantu menghemat bandwidth dan mempercepat transfer data, terutama ketika menangani konten yang dapat dikompresi secara efisien.
Namun, decoder Brotli yang rentan memiliki kelemahan dalam proses pengolahan data terkompresi tertentu.
Kelemahan tersebut dapat dipicu menggunakan aliran data Brotli yang telah dimodifikasi secara khusus oleh penyerang.
Apabila aplikasi memproses data berbahaya tersebut menggunakan decoder yang terdampak, proses dekompresi dapat menyebabkan kerusakan memori.
Masalah ini dilacak dengan nomor identifikasi CVE-2026-111497 dan dikategorikan sebagai kelemahan out-of-bounds write atau CWE-787.
Out-of-Bounds Write Bisa Menyebabkan Kerusakan Memori
Secara teknis, CVE-2026-111497 terjadi akibat kelemahan dalam penanganan batas memori ketika decoder Brotli memproses data tertentu.
Out-of-bounds write merupakan kondisi ketika sebuah program menulis data melewati area memori yang seharusnya digunakan.
Pada aplikasi yang berjalan secara normal, setiap proses memiliki batas memori untuk menyimpan data dan informasi internal.
Namun, apabila proses penulisan melewati batas tersebut, data lain yang berada pada lokasi memori berdekatan dapat tertimpa atau mengalami perubahan yang tidak semestinya.
Dalam konteks decoder Brotli, penyerang dapat memanfaatkan input terkompresi yang dibentuk secara khusus untuk memicu kondisi tersebut.
Dampaknya dapat berbeda berdasarkan implementasi software, kondisi memori, serta jalur pemrosesan data yang digunakan.
Pada sejumlah skenario, celah ini dapat menyebabkan aplikasi mengalami crash dan berhenti beroperasi.
Dalam kondisi lain, kerusakan memori dapat berpotensi mengungkap informasi yang seharusnya tidak dapat diakses.
Risiko paling serius adalah kemungkinan eksekusi kode arbitrer, ketika penyerang berhasil memanipulasi proses aplikasi untuk menjalankan instruksi yang tidak diizinkan.
Jika eksploitasi RCE berhasil, dampaknya dapat berkembang menjadi pengambilalihan proses aplikasi, tergantung pada hak akses yang dimiliki layanan tersebut.
Namun, tidak setiap aplikasi yang menggunakan Brotli otomatis dapat dieksploitasi melalui jaringan.
Aplikasi harus memiliki jalur pemrosesan yang memungkinkan data Brotli dari sumber tidak tepercaya mencapai decoder yang rentan.
Selain itu, kemampuan menyebabkan crash tidak selalu berarti penyerang dapat langsung memperoleh eksekusi kode.
Awalnya Ditemukan pada Node.js, Kini Berdampak pada Platform Lain
Kerentanan Node2Shell pertama kali mendapat perhatian luas setelah ditemukan dalam lingkungan runtime JavaScript Node.js.
Node.js digunakan secara luas untuk mengembangkan aplikasi backend, REST API, layanan real-time, hingga berbagai sistem berbasis JavaScript.
Karena itu, kerentanan yang memengaruhi komponen bawaan runtime tersebut berpotensi berdampak terhadap berbagai layanan yang digunakan organisasi.
Dalam kasus CVE-2026-111497, akar masalahnya berada pada komponen decoder Brotli yang juga digunakan oleh software lain.
Artinya, cakupan risiko tidak hanya terbatas pada aplikasi Node.js.
Implementasi Brotli yang rentan juga ditemukan atau digunakan dalam sejumlah ekosistem lain, termasuk aplikasi berbasis .NET, Python, Java, dan komponen server HTTP tertentu.
Kondisi tersebut membuat inventarisasi komponen software menjadi langkah penting dalam proses penanganan.
Administrator tidak cukup hanya memeriksa apakah Node.js terpasang pada server.
Mereka juga perlu mengetahui apakah aplikasi menggunakan library Brotli secara langsung, melalui dependency, atau melalui komponen runtime yang telah mengintegrasikan decoder tersebut.
Selain itu, software yang menggunakan versi Brotli bawaan atau bundled library mungkin tetap rentan meskipun library Brotli pada sistem operasi sudah diperbarui.
Hal ini terutama relevan untuk aplikasi yang dikompilasi secara mandiri atau menggunakan container image dengan dependency terpisah dari sistem host.
Eksploitasi Node2Shell Tidak Membutuhkan Autentikasi
Salah satu karakteristik yang membuat Node2Shell mendapat perhatian serius adalah kemungkinan eksploitasi tanpa autentikasi.
Dalam konfigurasi aplikasi yang rentan, penyerang tidak harus memiliki akun atau akses administratif untuk mengirimkan data terkompresi yang telah dimodifikasi.
Penyerang dapat mencoba memanfaatkan fitur aplikasi yang menerima data Brotli dari pengguna atau sumber eksternal.
Sebagai contoh, layanan yang mengaktifkan dekompresi request HTTP berformat Brotli dapat memiliki jalur pemrosesan yang relevan jika request tersebut diteruskan kepada decoder yang rentan.
Risiko serupa juga dapat muncul pada aplikasi yang secara otomatis mendekompresi respons dari layanan eksternal yang tidak sepenuhnya tepercaya.
Namun, keberadaan dukungan kompresi Brotli pada sebuah website tidak dengan sendirinya membuktikan bahwa aplikasi tersebut rentan.
Banyak server menggunakan Brotli hanya untuk mengompresi respons yang dikirimkan kepada browser.
Aktivitas tersebut berbeda dari menerima dan mendekompresi data Brotli yang dikendalikan penyerang.
Karena itu, pemeriksaan keamanan harus berfokus pada jalur Brotli decompression, bukan sekadar mendeteksi keberadaan header kompresi Brotli pada website.
CISA Masukkan Node2Shell ke Daftar Kerentanan yang Aktif Dieksploitasi
Pada Selasa, 27 Oktober 2026, CISA menambahkan CVE-2026-111497 ke Known Exploited Vulnerabilities Catalog.
KEV merupakan katalog yang digunakan CISA untuk mengidentifikasi kerentanan software yang telah diketahui dieksploitasi oleh pelaku ancaman siber.
Berbeda dari daftar CVE secara umum, penambahan ke KEV menunjukkan bahwa terdapat bukti eksploitasi aktif yang memenuhi kriteria CISA.
Dengan demikian, organisasi perlu memberikan prioritas lebih tinggi terhadap kerentanan yang tercantum dalam daftar tersebut.
CISA menjelaskan bahwa kelemahan pada decoder Brotli dapat memungkinkan penyerang jarak jauh tanpa autentikasi merusak kondisi memori internal, mengungkap informasi sensitif, menyebabkan denial of service, atau berpotensi menjalankan kode arbitrer.
Badan keamanan siber tersebut juga menegaskan bahwa kerentanan seperti ini sering menjadi sarana serangan terhadap jaringan organisasi.
Namun, CISA belum mengungkapkan secara terperinci identitas kelompok penyerang, jumlah korban, maupun metode eksploitasi yang diamati dalam kampanye serangan terkait Node2Shell.
Belum tersedia pula informasi publik yang cukup untuk memastikan bahwa seluruh bentuk dampak teknis, termasuk RCE, telah berhasil digunakan dalam setiap serangan yang terdeteksi.
Meski begitu, konfirmasi eksploitasi aktif menjadi alasan kuat bagi organisasi untuk segera menjalankan mitigasi.
Instansi Pemerintah AS Diberi Tenggat hingga 10 November 2026
Setelah memasukkan CVE-2026-111497 ke katalog KEV, CISA menetapkan batas waktu penanganan bagi lembaga pemerintah federal Amerika Serikat yang diwajibkan mengikuti direktif tersebut.
Berdasarkan ketentuan Binding Operational Directive (BOD) 26-04, organisasi yang tercakup harus menyelesaikan penanganan kerentanan paling lambat 10 November 2026.
Batas waktu ini memberikan waktu dua minggu sejak pengumuman penambahan kerentanan ke katalog KEV.
Kebijakan tersebut bertujuan mengurangi risiko kompromi pada sistem pemerintah yang mungkin menggunakan komponen Brotli rentan.
Meski direktif CISA tidak secara langsung mewajibkan perusahaan swasta atau organisasi di luar Amerika Serikat mengikuti tenggat yang sama, rekomendasi teknisnya tetap relevan untuk berbagai lingkungan IT.
Perusahaan yang menjalankan aplikasi web, API, sistem cloud, maupun layanan berbasis Node.js disarankan memprioritaskan pembaruan apabila terdapat jalur input yang dapat mencapai decoder Brotli rentan.
Organisasi juga perlu mempertimbangkan kemungkinan adanya dependency yang menggunakan Brotli tanpa diketahui langsung oleh administrator.
Node.js Telah Merilis Pembaruan Keamanan
Proyek Node.js sebelumnya telah merilis pembaruan keamanan pada 21 Oktober 2026 untuk menangani sejumlah kerentanan, termasuk CVE-2026-111497.
Pembaruan tersebut tersedia untuk beberapa jalur rilis Node.js yang masih didukung.
Versi perbaikan awal mencakup Node.js 22.23.4, 24.22.1, dan 26.12.1.
Administrator yang masih menggunakan versi sebelum pembaruan tersebut perlu melakukan pemeriksaan dan meningkatkan runtime ke versi yang sudah menyertakan perbaikan.
Penggunaan versi yang lebih baru juga dapat dipertimbangkan selama berasal dari jalur rilis resmi yang didukung.
Sementara itu, aplikasi yang masih bergantung pada Node.js yang telah mencapai status End of Life perlu direncanakan migrasinya ke versi yang masih memperoleh pembaruan keamanan.
Namun, proses pembaruan sebaiknya tidak hanya dilakukan pada lingkungan development.
Administrator perlu memastikan runtime yang digunakan pada lingkungan production benar-benar telah diperbarui.
Hal ini penting karena pada beberapa infrastruktur, versi Node.js yang digunakan aplikasi dapat berbeda dari versi yang dijalankan melalui terminal sistem.
Contohnya dapat ditemukan pada aplikasi yang menggunakan container, runtime khusus, atau pengelola versi Node.js terpisah.
Microsoft Juga Merilis Patch Darurat untuk .NET
Dampak Node2Shell tidak hanya dirasakan oleh ekosistem Node.js.
Pada 25 Oktober 2026, Microsoft turut menerbitkan pembaruan keamanan darurat untuk menangani kerentanan decoder Brotli yang digunakan dalam .NET.
Microsoft menjelaskan bahwa kelemahan tersebut dapat memungkinkan penyerang tanpa autentikasi membaca atau merusak memori proses aplikasi.
Dampak yang mungkin terjadi mencakup kebocoran informasi, gangguan layanan, maupun peningkatan hak akses dalam kondisi tertentu.
Pembaruan keamanan tersedia untuk beberapa jalur .NET yang masih didukung, termasuk .NET 8, .NET 9, dan .NET 10.
Microsoft juga menegaskan bahwa tidak seluruh aplikasi .NET otomatis rentan hanya karena runtime yang terdampak terpasang.
Risiko muncul ketika aplikasi mengaktifkan dekompresi Brotli pada jalur input yang dapat dikendalikan penyerang.
Contohnya adalah aplikasi ASP.NET Core yang dikonfigurasi untuk menerima request terkompresi Brotli atau aplikasi yang menggunakan API Brotli secara langsung.
Microsoft menyebut bahwa dekompresi request Brotli pada ASP.NET Core tidak diaktifkan secara default.
Karena itu, penilaian kerentanan perlu mempertimbangkan konfigurasi aktual dan metode penggunaan library pada setiap aplikasi.
Administrator Disarankan Memeriksa Dependency dan Container
Salah satu tantangan terbesar dalam penanganan CVE-2026-111497 adalah keberadaan library Brotli pada berbagai lapisan software.
Sebuah aplikasi dapat menggunakan Brotli tanpa secara eksplisit menyertakan nama library tersebut dalam konfigurasi utama.
Sebagai contoh, fungsi dekompresi dapat disediakan melalui framework, package manager, runtime, atau dependency pihak ketiga.
Dalam lingkungan container, komponen Brotli mungkin juga telah terpasang di dalam base image yang digunakan ketika membangun aplikasi.
Oleh karena itu, proses pemeriksaan perlu mencakup inventaris software, dependency, runtime, dan image yang digunakan.
Untuk lingkungan Node.js, administrator perlu memastikan versi runtime yang berjalan sudah mencakup patch keamanan.
Pada aplikasi yang menggunakan dependency native atau modul terkompilasi, versi komponen tersebut juga harus diperiksa secara terpisah.
Sementara itu, pada sistem berbasis Linux, pembaruan library melalui package manager harus mengikuti advisory resmi distribusi yang digunakan.
Hal ini penting karena beberapa vendor Linux menerapkan metode backport security patch, sehingga nomor versi paket mungkin tetap terlihat lebih lama dibandingkan rilis upstream.
Versi paket yang tampak lebih rendah tidak selalu berarti belum terlindungi apabila distribusi telah memasukkan perbaikan keamanan secara resmi.
Mitigasi Sementara Jika Patch Belum Tersedia
CISA menyarankan administrator segera menginstal pembaruan keamanan yang telah disediakan oleh vendor.
Namun, dalam beberapa lingkungan produksi, pembaruan tidak selalu dapat diterapkan langsung karena kebutuhan pengujian kompatibilitas atau ketergantungan aplikasi tertentu.
Untuk kondisi tersebut, organisasi dapat menerapkan mitigasi sementara dengan membatasi pemrosesan data Brotli yang tidak diperlukan.
Salah satu pendekatan adalah menolak request masuk yang menggunakan header Content-Encoding: br pada reverse proxy atau lapisan keamanan jaringan, apabila aplikasi tidak membutuhkan penerimaan request terkompresi Brotli.
Administrator juga dapat menonaktifkan fungsi Brotli decompression yang memproses input tidak tepercaya hingga pembaruan tersedia.
Namun, tindakan tersebut perlu dilakukan secara hati-hati karena dapat memengaruhi aplikasi yang memang menggunakan fitur tersebut untuk komunikasi data.
Selain itu, pemblokiran request Brotli pada reverse proxy tidak selalu cukup untuk melindungi seluruh jalur eksploitasi.
Aplikasi yang mengambil dan mendekompresi respons Brotli dari sumber eksternal masih dapat memiliki risiko meskipun request masuk sudah dibatasi.
Karena itu, mitigasi sementara hanya bertujuan mengurangi permukaan serangan dan tidak boleh dianggap sebagai pengganti patch keamanan.
Proses Aplikasi Harus Direstart Setelah Pembaruan
CISA juga mengingatkan bahwa instalasi patch saja belum tentu langsung menghilangkan risiko apabila proses aplikasi yang rentan masih berjalan menggunakan library lama.
Pada sejumlah lingkungan, aplikasi dapat terus mempertahankan komponen yang telah dimuat ke memori sebelum proses pembaruan dilakukan.
Oleh karena itu, administrator harus memastikan proses yang terdampak telah direstart setelah patch dipasang.
Untuk aplikasi yang dijalankan dalam container, pembaruan dapat membutuhkan proses rebuild image dan redeployment.
Langkah ini menjadi penting karena container biasanya menggunakan filesystem dan dependency yang telah dimasukkan ketika image dibangun.
Memperbarui paket pada host belum tentu memperbarui library yang berada di dalam container.
Hal serupa juga berlaku pada aplikasi self-contained yang membawa runtime atau dependency sendiri.
Aplikasi tersebut mungkin perlu dikompilasi ulang dan diterbitkan kembali menggunakan komponen yang sudah diperbaiki.
Setelah proses pembaruan, administrator perlu melakukan verifikasi ulang terhadap versi runtime dan library yang benar-benar digunakan aplikasi.
Pengujian fungsional juga diperlukan untuk memastikan layanan dapat berjalan normal setelah perubahan diterapkan.
Ancaman Node2Shell Relevan untuk Server Web dan Infrastruktur Cloud
Kerentanan pada komponen kompresi seperti Brotli memiliki cakupan yang luas karena teknologi tersebut merupakan bagian dari infrastruktur aplikasi modern.
Berbagai layanan web menggunakan kompresi data untuk meningkatkan efisiensi transfer informasi melalui HTTP.
Selain aplikasi Node.js, library kompresi dapat digunakan dalam proxy, API gateway, aplikasi backend, serta layanan yang menangani data dari sistem eksternal.
Namun, tingkat risiko Node2Shell pada setiap lingkungan tidak selalu sama.
Faktor utama yang perlu diperiksa adalah apakah layanan menggunakan implementasi decoder Brotli yang rentan dan apakah data dari sumber tidak tepercaya dapat diproses oleh decoder tersebut.
Sebuah website yang mengirimkan respons Brotli kepada pengunjung tidak otomatis memiliki jalur eksploitasi Node2Shell.
Sebaliknya, aplikasi yang menerima atau mengambil data terkompresi dari sumber eksternal mungkin memerlukan evaluasi lebih mendalam.
Bagi penyedia hosting, cloud, dan pengelola infrastruktur, hal ini membuat proses identifikasi dependency menjadi sangat penting.
Administrator perlu memeriksa aplikasi pelanggan, layanan internal, serta komponen pihak ketiga yang mengandalkan decoder Brotli.
Selain memasang patch, pemantauan log aplikasi juga dapat membantu mengidentifikasi crash tidak biasa, gangguan dekompresi, atau aktivitas yang menyimpang dari pola normal.
Meski demikian, tidak semua eksploitasi kerusakan memori menghasilkan pesan error yang mudah ditemukan melalui log standar.
Karena itu, pemantauan keamanan sebaiknya dikombinasikan dengan pemeriksaan integritas sistem dan investigasi apabila terdapat indikasi kompromi.
Eksploitasi Aktif Membuat Patch Node2Shell Menjadi Prioritas
Penambahan CVE-2026-111497 ke katalog Known Exploited Vulnerabilities CISA menunjukkan bahwa Node2Shell kini menjadi ancaman keamanan yang harus ditangani secara serius.
Kerentanan ini tidak hanya memengaruhi satu aplikasi tertentu, melainkan komponen Brotli yang digunakan dalam berbagai ekosistem software.
Potensi dampaknya mencakup gangguan layanan, kerusakan memori, kebocoran informasi, hingga kemungkinan eksekusi kode berbahaya pada kondisi yang memungkinkan.
Konfirmasi eksploitasi aktif juga memperkuat kebutuhan organisasi untuk segera melakukan identifikasi komponen rentan dan menerapkan pembaruan keamanan.
Bagi administrator sistem, langkah terpenting adalah memastikan aplikasi menggunakan versi runtime dan library yang telah diperbaiki, meninjau jalur dekompresi data tidak tepercaya, serta melakukan restart atau redeployment setelah pembaruan.
Apabila patch belum dapat dipasang, pembatasan dekompresi Brotli dapat digunakan sebagai mitigasi sementara dengan tetap mempertimbangkan seluruh jalur input aplikasi.
Dengan batas waktu penanganan bagi lembaga federal Amerika Serikat yang ditetapkan pada 10 November 2026, CISA menegaskan bahwa risiko Node2Shell membutuhkan respons cepat.
Organisasi di luar Amerika Serikat juga disarankan tidak menunda pembaruan, terutama apabila aplikasi yang terdampak dapat diakses melalui internet.
Sumber: CISA — CISA Adds Two Known Exploited Vulnerabilities to Catalog
