OpenAI menemukan kerentanan kritis eksekusi kode jarak jauh di Brotli
Peneliti OpenAI menemukan kerentanan kritis pada Brotli, CVE-2026-111497, yang juga dikenal sebagai Node2Shell. Cacat ini berupa penulisan di luar batas pada dekoder pustaka kompresi, yang dapat memungkinkan penyerang tanpa autentikasi mengeksekusi kode melalui data terkompresi yang dibuat secara berbahaya. Kerentanan ini memiliki skor CVSS 9,2 dan dapat berdampak pada aplikasi sisi klien maupun sisi server.
Kerentanan Brotli ini mendorong dirilisnya pembaruan keamanan untuk Node.js, Bun, Envoy, dan beberapa paket Python. Pengguna Node.js sebaiknya memperbarui ke versi 22.23.4, 24.22.1, atau 26.12.1; versi Bun sebelum 1.4.4 terdampak. Kode proof-of-concept telah muncul, dan peneliti Imperva mendemonstrasikan eksploitasi yang andal pada build Node.js yang terdampak. Namun, hingga 23 Oktober 2026, belum ada bukti publik mengenai serangan yang meluas.
Pedagang kripto tidak terdampak langsung oleh cacat perangkat lunak ini, tetapi bursa, layanan dompet, dan platform kripto lainnya sebaiknya memeriksa apakah mereka menggunakan komponen Brotli yang rentan, terutama jika memproses data terkompresi yang tidak tepercaya. Insiden ini menyoroti risiko keamanan siber yang dihadapi infrastruktur perangkat lunak yang digunakan di seluruh sektor aset digital.
Neutral
Kerentanan ini tidak memiliki kaitan langsung dengan harga mata uang kripto, pasokan token, atau aktivitas protokol blockchain, sehingga dampak pasar yang netral paling tepat. Relevansi langsungnya bersifat operasional: bursa kripto, kustodian, penyedia dompet, dan layanan lain mungkin menggunakan Brotli melalui runtime atau dependensi, dan serangan yang berhasil dapat mengganggu layanan atau mengekspos sistem. Trader dapat memantau laporan insiden dari masing-masing platform, tetapi artikel ini tidak menyebutkan perusahaan atau layanan kripto tertentu yang terdampak.
Dalam jangka pendek, kode proof-of-concept dan skor tingkat keparahan yang tinggi dapat mendorong peninjauan keamanan, pemasangan patch, dan pengelolaan risiko yang berhati-hati oleh bisnis yang terdampak. Jika bursa atau dompet besar mengungkapkan adanya eksploitasi atau gangguan layanan, penggunanya mungkin merespons dengan menarik dana atau mengurangi aktivitas, yang berpotensi menimbulkan volatilitas khusus pada platform tersebut. Artikel ini tidak melaporkan eksploitasi yang meluas, sehingga alasan untuk memperkirakan gangguan pasar yang lebih luas pun terbatas.
Dalam jangka panjang, insiden ini dapat mendorong perusahaan kripto mengaudit komponen sumber terbuka yang disertakan dan memperkuat keamanan rantai pasokan. Kerentanan perangkat lunak serupa umumnya mendorong respons operasional yang terarah, bukan pergerakan berkepanjangan di seluruh pasar kripto, kecuali jika menyebabkan kebocoran yang terkonfirmasi, kehilangan dana, atau gangguan layanan yang berkepanjangan. Karena itu, trader sebaiknya membedakan risiko infrastruktur secara umum dari bukti adanya insiden spesifik di sektor kripto.