# Node.js Güvenlik Açıkları: Kritik Güncelleme Uyarısı > Son güncelleme: 22 Ekim 2026 | İsim Kayıt Güvenlik RehberiÖnemli Node.js Güvenlik Uyarısı21 Ekim 2026 tarihinde Node.js 22, 24 ve 26 sürüm ailelerini etkileyen toplam 10 güvenlik açığı için düzeltmeler yayımlandı. Bunların dördü yüksek önem derecesindedir. Node.js kullanan sistem yöneticilerinin sürüm kontrolü yapmaları ve gerekli güvenlik güncellemelerini gecikmeden değerlendirmeleri önerilmektedir. - **HTML:** https://www.isimkayit.com/duyurular/node-js-guvenlik-aciklari-kritik-guncelleme-uyarisi - **Site context:** [llms.txt](https://www.isimkayit.com/llms.txt) --- Node.js; web uygulamaları, REST API servisleri, gerçek zamanlı iletişim sistemleri, mikroservisler ve çeşitli otomasyon yazılımlarında kullanılan JavaScript çalışma ortamıdır. Node.js üzerinde tespit edilen güvenlik açıkları, uygulamanın mimarisine ve ilgili bileşenleri kullanma biçimine bağlı olarak hizmet kesintisine, yetkisiz erişime veya uzaktan kod çalıştırma riskine neden olabilir. **Bu rehberde Node.js güvenlik açıklarının ne olduğunu, etkilenen sürümleri, Linux ve Windows sunucularda kontrol yöntemlerini, Docker ve PM2 ortamlarını, güvenli güncelleme adımlarını ve saldırı şüphesinde yapılması gerekenleri açıklıyoruz.** **Hızlı Yanıt: Ne Yapmalısınız?** - Sunucunuzda **node -v** komutuyla sürümü kontrol edin. - Node.js 22, 24 veya 26 kullanıyorsanız güvenlik düzeltmesini içeren sürüme geçin. - Docker kullanıyorsanız container içerisindeki Node.js sürümünü ayrıca kontrol edin. - PM2 veya systemd servislerinin hangi Node.js dosyasını kullandığını doğrulayın. - TLS sertifika doğrulamasını kapatmayın. - Güncellemeden önce yedek alın ve uygulamanızı test edin. **İçindekiler** - [Node.js güvenlik açıkları nelerdir?](#nodejs-aciklari) - [Brotli RCE güvenlik açığı](#brotli-rce) - [TLS sertifika doğrulama açıkları](#tls-guvenligi) - [DNS güvenlik sorunları](#dns-guvenligi) - [Etkilenen Node.js sürümleri](#etkilenen-surumler) - [Linux ve Windows sürüm kontrolü](#surum-kontrolu) - [Docker güvenlik kontrolleri](#docker-kontrol) - [PM2 ve systemd kontrolleri](#pm2-kontrol) - [Güvenli güncelleme rehberi](#guncelleme) - [Sunucu güvenlik önlemleri](#sunucu-guvenligi) - [Saldırı şüphesinde yapılacaklar](#olay-mudahale) - [Sık sorulan sorular](#sss) - [Resmî kaynaklar](#kaynaklar) 1. Node.js Güvenlik Açıkları Nelerdir?Node.js güvenlik açığı, JavaScript çalışma ortamının bellek yönetimi, ağ iletişimi, veri işleme, DNS çözümleme veya sertifika doğrulama gibi bileşenlerinde bulunan ve belirli koşullarda kötüye kullanılabilen yazılım hatasıdır. 21 Ekim 2026 güvenlik güncellemelerinde açıklanan sorunlar arasında Brotli veri çözme bileşenindeki bellek güvenliği hatası, TLS sertifika doğrulama sorunları ve DNS işleme hataları bulunmaktadır. Bir güvenlik açığının sistem üzerindeki gerçek etkisi; kullanılan Node.js sürümüne, uygulamanın ilgili bileşeni kullanmasına, ağ erişimlerine ve saldırganın savunmasız işlem yoluna ulaşabilmesine bağlıdır. 2. CVE-2026-111497: Brotli Uzaktan Kod Çalıştırma Riski**CVE-2026-111497**, Node.js tarafından kullanılan Brotli veri çözme bileşenindeki bellek güvenliği sorunuyla ilişkilidir. Brotli, verilerin daha az bant genişliği kullanılarak aktarılmasını sağlayan bir sıkıştırma algoritmasıdır. Web uygulamaları ve çeşitli servisler sıkıştırılmış verileri işlemek için bu teknolojiden yararlanabilir. Brotli veri çözme sırasında meydana gelen sınır dışı bellek yazma (out-of-bounds write) hatası, belirli koşullarda uygulamanın çökmesine veya uzaktan kod çalıştırılmasına yol açabilir. Brotli açığı nasıl tehlike oluşturabilir?Savunmasız bir uygulama, saldırgan tarafından özel hazırlanmış sıkıştırılmış verileri işlerse bellek bozulması meydana gelebilir. Başarılı istismar koşullarında uygulamanın sahip olduğu yetkiler kötüye kullanılabilir. - Uygulamanın beklenmedik şekilde kapanması - Hizmet kesintisi veya kararsız çalışma - Uygulama yetkileri kapsamında yetkisiz kod çalıştırılması - Uygulamanın erişebildiği dosya ve verilerin tehlikeye girmesi **Teknik açıklama:** Bu açığın uzaktan kod çalıştırma riski taşıması, internete açık bütün Node.js sunucularının otomatik olarak ele geçirilebileceği anlamına gelmez. Gerçek sömürülebilirlik, uygulamanın ilgili bileşeni nasıl kullandığına bağlıdır. Brotli açığından korunma yöntemleri - Node.js çalışma ortamını güvenlik düzeltmesi içeren sürüme yükseltin. - Uygulamanızın Brotli sıkıştırılmış verileri nerelerde işlediğini belirleyin. - Güvenilmeyen veri girişlerine uygun boyut ve kaynak tüketimi sınırları uygulayın. - Uygulamayı gereksiz yönetici yetkileriyle çalıştırmayın. - Güncelleme sonrasında sıkıştırılmış veri işleme fonksiyonlarını test edin. 3. TLS Sertifika Doğrulama Güvenlik AçıklarıTLS, istemci ve sunucu arasındaki iletişimin şifrelenmesini sağlar. Ancak güvenli iletişim için yalnızca verilerin şifrelenmesi yeterli değildir; bağlantı kurulan sunucunun kimliği de doğru doğrulanmalıdır. **CVE-2026-105483** ve **CVE-2026-106069** kapsamında açıklanan güvenlik sorunları, belirli koşullarda sunucu kimliği veya sertifika doğrulama işlemlerinin beklenenden farklı sonuç vermesine neden olabilir. TLS doğrulama hatası neden tehlikelidir?Bir uygulama yanlış sunucu sertifikasını kabul ederse bağlantı şifreli görünse bile iletişimin doğru sunucuyla kurulduğundan emin olunamayabilir. Bu durum uygun saldırı koşullarında hassas bilgilerin yanlış uç noktaya gönderilmesi veya sunucu kimliğinin hatalı doğrulanması gibi riskler oluşturabilir. TLS güvenliği nasıl sağlanır? - Node.js güvenlik güncellemelerini uygulayın. - Sertifika geçerliliğini ve alan adı eşleşmesini kontrol edin. - Güvenilir sertifika otoritelerini kullanın. - Özel TLS doğrulama kodlarını güvenlik açısından inceleyin. - Sertifika doğrulamasını devre dışı bırakmayın. Aşağıdaki yapılandırma TLS sertifika doğrulamasını kapatır ve üretim ortamlarında kullanılmamalıdır: NODE_TLS_REJECT_UNAUTHORIZED=04. DNS İşleme Güvenlik AçıklarıDNS, alan adlarının IP adreslerine dönüştürülmesini sağlayan temel internet altyapısıdır. Node.js uygulamaları yerleşik DNS modülü aracılığıyla alan adı çözümleme işlemleri gerçekleştirebilir. **CVE-2026-105482**, belirli NUL karakterleri içeren alan adlarının işlenmesiyle ilgili güvenlik sorunudur. Özellikle kullanıcı tarafından sağlanan alan adlarıyla DNS sorgusu yapan uygulamalarda girdi doğrulama kontrolleri önemlidir. DNS güvenliği için öneriler - Kullanıcıdan alınan alan adlarını doğrulayın. - Beklenmeyen kontrol karakterlerini reddedin. - DNS sorgularını uygulamanın ihtiyaçlarıyla sınırlandırın. - Node.js güvenlik güncellemelerini uygulayın. - DNS sorgularını ağ erişim politikalarıyla birlikte değerlendirin. 5. Hangi Node.js Sürümleri Etkileniyor?21 Ekim 2026 güvenlik düzeltmelerini içeren Node.js sürümleri aşağıdaki tabloda gösterilmektedir. Node.js SürümüGüvenlik DüzeltmesiÖnerilen İşlem22.x**22.23.4**Güvenlik güncellemesini uygulayın.24.x**24.22.1**Güvenlik güncellemesini uygulayın.26.x**26.12.1**Güvenlik güncellemesini uygulayın.18.x / 20.xDestek dışıDesteklenen sürüme geçiş planlayın. Destek süresi dolmuş Node.js sürümlerinin kullanılması, yeni güvenlik düzeltmelerinden yararlanılamamasına neden olabilir. Bu nedenle uygulama uyumluluğu dikkate alınarak desteklenen LTS sürümlerine geçilmesi önerilir. 6. Linux ve Windows Sunucularda Node.js Sürüm KontrolüLinux sunucularda Node.js sürümü nasıl öğrenilir?SSH bağlantısı üzerinden aşağıdaki komutu çalıştırın: node -vNode.js çalıştırılabilir dosyasının konumunu öğrenmek için: command -v nodeÇalışan Node.js süreçlerini listelemek için: ps -eo pid,user,args | grep '[n]ode'Bu komutlar yalnızca bilgi toplar. Çalışan hizmetleri durdurmaz veya sunucu yapılandırmasını değiştirmez. Windows sunucularda Node.js kontrolüPowerShell veya Komut İstemi üzerinden: node -vNode.js dosyasının konumunu görmek için: where.exe nodeBir sunucuda birden fazla Node.js sürümü bulunabilir. Bu nedenle terminalde görülen sürümün uygulamanın gerçekten kullandığı sürüm olup olmadığı ayrıca doğrulanmalıdır. 7. Docker Ortamında Node.js Güvenlik KontrolüDocker kullanan sistemlerde ana işletim sisteminin güncel olması, container içerisinde çalışan Node.js sürümünün de güncel olduğu anlamına gelmez. Öncelikle çalışan container listesini kontrol edin: docker psNode.js kullanan ilgili container içerisinde sürümü öğrenmek için: docker exec CONTAINER_ADI node -vBuradaki CONTAINER_ADI ifadesini kendi container adınızla değiştirin. Docker imajları nasıl güncellenmelidir? - Uygulamanızın Dockerfile dosyasını ve kullanılan taban imajını belirleyin. - Güvenlik düzeltmelerini içeren desteklenen Node.js imajını seçin. - Uygulamanın yeni sürümle uyumluluğunu test edin. - Container imajını yeniden oluşturun. - Yeni imajı kontrollü şekilde dağıtın. - Dağıtım sonrasında Node.js sürümünü tekrar doğrulayın. **Docker kullanıcıları için önemli:** Container imajının güncellenmesi veya yeniden oluşturulması uygulama mimarisine bağlı olarak hizmet kesintisine neden olabilir. Kalıcı veriler, volume yapılandırmaları ve geri dönüş planı kontrol edilmeden üretim ortamında işlem yapılmamalıdır. 8. PM2 ve systemd ile Çalışan Node.js Uygulamalarını Kontrol EdinNode.js uygulamaları PM2 veya systemd gibi servis yöneticileri üzerinden çalıştırılabilir. Bu ortamlarda terminalde görülen Node.js sürümü ile çalışan uygulamanın kullandığı sürüm farklı olabilir. PM2 süreçlerini kontrol edinpm2 listBelirli bir uygulamanın ayrıntılarını görüntülemek için: pm2 describe UYGULAMA_ADIBu çıktıda uygulamanın çalıştırılabilir dosyasını, çalışma dizinini ve kullanılan yorumlayıcıyı inceleyebilirsiniz. systemd servislerini kontrol edinİlgili servisin yapılandırmasını görmek için: systemctl cat SERVIS_ADI.serviceServis yapılandırmasındaki ExecStart satırını inceleyerek uygulamanın hangi çalıştırılabilir dosyayla başlatıldığını kontrol edebilirsiniz. PM2 veya systemd servislerinin yeniden başlatılması hizmet kesintisine neden olabileceğinden, sürüm güncellemeleri planlı şekilde uygulanmalıdır. 9. Node.js Güvenli Güncelleme RehberiNode.js güvenlik güncellemeleri geciktirilmemelidir. Bununla birlikte üretim ortamında kontrolsüz sürüm yükseltmeleri uygulama uyumsuzluklarına veya hizmet kesintilerine neden olabilir. Adım 1: Mevcut ortamı belirleyinnode -v npm -v command -v nodeNode.js'in NVM, işletim sistemi paket yöneticisi, Docker veya farklı bir yöntemle kurulmuş olabileceğini unutmayın. Adım 2: Yedekleme ve geri dönüş planı hazırlayınUygulama dosyalarının, yapılandırmaların, bağımlılık kilit dosyalarının ve gerekli verilerin yedeklendiğinden emin olun. Güncelleme sonrasında sorun yaşanması durumunda önceki çalışan sürüme nasıl dönüleceğini belirleyin. Adım 3: Güvenlik düzeltmesini içeren sürümü seçinKullandığınız Node.js sürüm ailesine uygun güvenlik düzeltmesini içeren sürümü tercih edin. Destek dışı sürümlerde ise uygulama uyumluluğunu dikkate alarak desteklenen bir LTS sürümüne geçiş planlayın. Adım 4: Uygulama bağımlılıklarını denetleyinUygulama dizininde aşağıdaki komutu çalıştırabilirsiniz: npm auditBu komut npm bağımlılıklarındaki bilinen güvenlik sorunlarını incelemek için kullanılır. Node.js çalışma zamanındaki bütün güvenlik açıklarını tespit etmez ve Node.js sürümünü güncellemez. Adım 5: Test ortamında doğrulayın - Uygulamanın sorunsuz başlatıldığını kontrol edin. - API uç noktalarını test edin. - Veritabanı bağlantılarını doğrulayın. - HTTPS ve TLS bağlantılarını kontrol edin. - Dosya yükleme ve indirme işlemlerini test edin. - Uygulama loglarını inceleyin. Adım 6: Üretim ortamına kontrollü dağıtım yapınTestler başarılı olduktan sonra güncellemeyi planlı bakım sürecinde uygulayın. Mümkünse kademeli dağıtım yöntemlerini tercih edin ve sorun halinde geri dönüş planını hazır bulundurun. 10. Node.js Sunucularında Ek Güvenlik ÖnlemleriUygulamaları en az yetkiyle çalıştırınNode.js uygulamalarını mümkün olduğunca ayrı ve sınırlı yetkilere sahip kullanıcı hesapları altında çalıştırın. Gereksiz root veya yönetici yetkilerinden kaçının. Gereksiz portları kapatınUygulamanızın kullanmadığı ağ portlarını güvenlik duvarı üzerinden dış erişime kapatın. Veritabanı ve yönetim servislerini gereksiz yere internete açmayın. API anahtarlarını ve parolaları koruyunAPI anahtarlarını, veritabanı parolalarını ve erişim belirteçlerini kaynak kod içerisinde sabit olarak yazmayın. Güvenli gizli bilgi yönetimi yöntemlerini kullanın. İstek sınırlandırması uygulayınUygulama ihtiyacına uygun rate limiting, istek boyutu sınırları ve zaman aşımı kontrolleri uygulayın. Bu kontroller belirli kötüye kullanım ve kaynak tüketimi risklerini azaltabilir. Güvenlik loglarını düzenli inceleyinBeklenmeyen süreç kapanmaları, uygulama hataları, olağandışı trafik ve başarısız erişim girişimlerini düzenli olarak kontrol edin. WAF ve güvenlik duvarı kullanınWeb Application Firewall ve ağ güvenlik duvarları belirli saldırı türlerini sınırlamaya yardımcı olabilir. Ancak bu sistemler Node.js çalışma zamanındaki güvenlik açığını ortadan kaldırmaz ve güvenlik güncellemesinin yerine geçmez. 11. Sunucunuzun Saldırıya Uğradığından ŞüpheleniyorsanızNode.js güvenlik açığının yayımlanmış olması, sunucunuzun saldırıya uğradığı anlamına gelmez. Bununla birlikte şüpheli belirtiler varsa olay müdahale süreci başlatılmalıdır. - Şüpheli sistemin mevcut durumunu ve olay zaman çizelgesini kayıt altına alın. - Logları ve gerekli dijital delilleri güvenli şekilde koruyun. - Yetkisiz erişim veya veri sızıntısı belirtilerini araştırın. - Gerekirse sistemi ağ düzeyinde izole edin. - Güvenilir yedekleri ve sistem bütünlüğünü değerlendirin. - Risk altındaki erişim bilgilerini güvenli bir ortamdan değiştirin. - Güvenlik düzeltmelerini uygulayın ve sistemi yeniden doğrulayın. **Güvenlik Olayı Uyarısı** Gerçek bir güvenlik ihlali şüphesinde logların silinmesi, sistemin kontrolsüz yeniden başlatılması veya aceleyle yeniden kurulması olay incelemesi için gerekli delillerin kaybolmasına neden olabilir. Kritik sistemlerde uzman desteğiyle hareket edilmelidir. 12. Node.js Güvenlik Açıkları Hakkında Sık Sorulan SorularNode.js güvenlik açığı nedir?Node.js çalışma ortamındaki bir yazılım hatasının belirli koşullarda saldırganlar tarafından kötüye kullanılabilmesidir. Etkisi uygulama mimarisine ve kullanım koşullarına göre değişir. CVE-2026-111497 nedir?Node.js'in Brotli veri çözme bileşenindeki bellek güvenliği sorunuyla ilişkilendirilen güvenlik açığıdır. Belirli koşullarda bellek bozulmasına ve uzaktan kod çalıştırma riskine neden olabilir. Node.js 22 güvenli mi?21 Ekim 2026 güvenlik düzeltmelerini içeren Node.js 22 sürümü 22.23.4'tür. Daha eski sürümlerin güncellenmesi önerilir. Node.js 24 için güvenli sürüm hangisidir?Node.js 24 sürüm ailesi için ilgili güvenlik düzeltmelerini içeren sürüm 24.22.1'dir. Node.js 26 için hangi sürüm kullanılmalıdır?21 Ekim 2026 güvenlik düzeltmelerini içeren Node.js 26 sürümü 26.12.1'dir. Node.js 18 ve 20 kullanılmaya devam edilebilir mi?Bu sürümlerin resmî güvenlik desteği sona ermiştir. Yeni güvenlik düzeltmelerinden yararlanmak için desteklenen bir Node.js sürümüne geçiş planlanmalıdır. Node.js güncellemesi web sitesini bozabilir mi?Sürüm değişiklikleri bazı uygulamalarda bağımlılık veya çalışma zamanı uyumsuzluklarına neden olabilir. Bu nedenle güncellemeden önce test ve yedekleme yapılmalıdır. Docker kullanıyorsam Node.js güncellemesi gerekli mi?Evet. Container içerisinde savunmasız bir Node.js sürümü çalışıyorsa ilgili imajın güvenlik düzeltmelerini içeren sürümle yeniden oluşturulması ve dağıtılması gerekir. npm audit Node.js güvenlik açıklarını kapatır mı?Hayır. npm audit, uygulama bağımlılıklarındaki bilinen güvenlik sorunlarını incelemek için kullanılır. Node.js çalışma zamanının kendisini güncellemez. Güvenlik duvarı Node.js RCE açığını tamamen engeller mi?Hayır. Güvenlik duvarları saldırı yüzeyini azaltabilir ancak uygulama içerisindeki bellek güvenliği açığını doğrudan gidermez. Kalıcı çözüm ilgili güvenlik düzeltmesinin uygulanmasıdır. Sunucumun saldırıya uğradığını nasıl anlarım?Beklenmeyen süreçler, olağandışı ağ bağlantıları, yetkisiz dosya değişiklikleri ve anormal uygulama davranışları incelenebilir. Ancak bu belirtilerin bulunmaması tek başına sistemin güvenli olduğunu kanıtlamaz. 13. İsim Kayıt Sunucu Müşterilerine Güvenlik Tavsiyesi İsim Kayıt üzerinden VDS, VPS veya diğer sunucu hizmetlerini kullanan müşterilerimizin, kendi sunucularında çalıştırdıkları Node.js uygulamalarının güvenlik durumlarını düzenli olarak kontrol etmeleri önemlidir. Node.js güvenlik açıkları her zaman işletim sistemi güncellemesiyle giderilemez. Uygulamanın kullandığı çalışma zamanı, paket bağımlılıkları ve Docker imajları ayrıca değerlendirilmelidir. Sunucu güvenliği için düzenli güncelleme, erişim kontrolü, yedekleme, log takibi ve ağ güvenlik önlemlerinin birlikte uygulanması önerilmektedir. İsim Kayıt sanal (bulut) sunucu hizmetlerine ait paketlerimizi ayrıca inceleyebilirsiniz. [**Sanal Sunucu Kiralayın**](https://www.isimkayit.com/bulut-sunucu) 14. Resmî Kaynaklar ve Güvenlik ReferanslarıGüvenlik açıklarına ilişkin teknik ayrıntıları doğrulamak ve güncel sürüm bilgilerini takip etmek için aşağıdaki resmî kaynakları inceleyebilirsiniz: - [Node.js — October 2026 Security Releases ](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) - [Node.js — Releases and Support Schedule ](https://nodejs.org/en/about/previous-releases) - [Node.js — Security ](https://nodejs.org/en/security) - [NIST National Vulnerability Database ](https://nvd.nist.gov/) **Sonuç: Node.js Sunucularınızı Güncel Tutun** Node.js güvenliğini sağlamak için ilk adım, kullanılan çalışma zamanı sürümünü doğru tespit etmektir. Ardından güvenlik düzeltmelerini içeren sürüme kontrollü geçiş yapılmalı, Docker imajları ve uygulama bağımlılıkları kontrol edilmeli, TLS doğrulaması korunmalı ve sunucu erişim yetkileri sınırlandırılmalıdır. Son güncelleme: 22 Ekim 2026. Bu rehber kamuya açıklanan güvenlik bilgileri doğrultusunda bilgilendirme amacıyla hazırlanmıştır. Açıklanan güvenlik açıkları, belirli bir İsim Kayıt sunucusunda güvenlik ihlali gerçekleştiği anlamına gelmemektedir.