ZoomEye'nin 5,5 milyonluk Node.js sayısı CVE-2026-105483 açısından çok şey söylemiyor

2 Kasım 2026'da ZoomEye'de Node.js parmak izi araması 5.539.674 eşleşme döndürürken, aynı motorun CVE-2026-105483'e özel filtresi hiçbir sonuç vermedi. Bu karşıtlık, internet genelindeki açıkta kalma tahminlerinin nasıl yanlış okunabileceğini göstermek üzere Node.js açıklığını kullanan, dev.to'da yayımlanan bir analizin çıkış noktası.

Açıklık

CVE-2026-105483, 24.22.1 ve 26.12.1 öncesi Node.js 24.x ve 26.x sürümlerini etkiliyor. dev.to gönderisine göre açıklık TLS sertifika doğrulamasında yatıyor: Tam genişlikte rakamlarla yazılmış bir IPv4 adresi, sanki bir DNS ana makine adıymış gibi ele alınabiliyor. Sonuç olarak, eşleşen bir DNS Subject Alternative Name taşıyan bir sertifika, o kimlik sınıfı için normalde gereken IP SAN'a sahip olmasa bile bir IP adresi uç noktasını doğrulayabiliyor. Node.js sorunu Yüksek olarak derecelendiriyor ve bağlantılı GitHub danışma belgesi CWE-295, yani uygunsuz sertifika doğrulamasını kapsayan zayıflık sınıfı altında CVSS v3.0 7.4 puanı listeliyor.

Ölçümün gerçekte saydığı şey

Yazar, app="Node.js" dork'uyla bir ZoomEye sorgusu çalıştırdı ve 2 Kasım 2026'da saat 04:17 +08:00 itibarıyla 5.539.674 eşleşme elde etti. vul.cve="CVE-2026-105483" filtresiyle yapılan ikinci bir sorgu ise sıfır sonuç döndürdü. Gönderide açıklanan AutoPR açıklık kuralına göre kaydedilen açık sayısı, başarılı sorgu sayılarının en büyüğü olduğundan ~5,5 milyonluk rakam kaydedildi.

Gönderinin merkezindeki argüman, bu sayının kurbanları değil parmak izlerini saydığı. Bir eşleşme size bir Node.js uygulamasının görünür olduğunu söyler; runtime sürümünü, servisin tam genişlikte rakamlı ana makine hedeflerini kabul edip etmediğini ya da güven deposunun açıklığın bağlı olduğu sertifikayı verebilecek bir kök içerip içermediğini söylemez. Bu gerçekler, parmak izinin taşımadığı kanıtlar gerektirir ve iki sayı asla birlikte toplanmamalıdır.

Sıfır CVE sonucunun neden güvenlik kanıtı olmadığı

Boş CVE filtresi de her şeyin yamalandığının kanıtı olarak okunamaz. ZoomEye'nin CVE alanı, dizinleyicinin bir varlıkla ilişkilendirdiği açıklık kanıtına dayanır ve bir ürün parmak izi, CVE'yi eşlemek için gereken sürüm veya sertifika yapılandırmasını içermiyor olabilir. Gönderiye göre doğru okuma, gözlemlenen dizindeki hiçbir varlığın sorgu anında o CVE ile etiketlenmemiş olmasıdır; hiçbir dağıtımın etkilenmediği değil.

Servis sahipleri için sorular

Gönderi, operatörlerin eşleşmeleri altı soruyla önceliklendirmesini öneriyor: Servisin ne tür olduğu, dağıtılan sürecin bildirdiği Node.js sürümü, hedeflerin kiracılardan, entegrasyonlardan mı yoksa yöneticilerden mi geldiği, IP uç noktalarının IP SAN gerektirip gerektirmediği, hangi güven çapaları ve iç CA'ların sertifika verebildiği ve TLS denetiminden sonra hangi hassas trafiğin izlediği. İlk ikisi teknolojiyi daraltır, ortadaki ikiler savunmasız kimlik yolunun erişilebilir olup olmadığını belirler, son ikisi ise sonucu ölçer.

Özellikle yazar, görünürlüğün sömürülebilirlik olmadığına dikkat çekiyor. Saldırgan etkisinde geri çağrılar kabul eden ve ayrıcalıklı token'lar iliştiren özel bir iç servis, sabit ve onaylı DNS hedeflerine kilitlenmiş herkese açık bir servisten daha erken incelemeyi hak edebilir; çünkü iş yolu hedef etkisini hassas yetkiyle birleştirir.

Giderim

Doğrulanmış etkilenen dağıtımlar için öneri, Node.js 24.22.1, 26.12.1 veya sonrasına yükseltmek, container imajlarını ve paketlenmiş çalıştırılabilir dosyaları yeniden oluşturmak, dağıtımdan sonra runtime'ı doğrulamak ve sürüm geçitlerine bir sertifika kimliği regresyon testi eklemektir. Kullanıcı kontrollü hedefler kabul eden servisler, kanonik DNS adlarını veya kanonik IP literal'lerini zorunlu kılmalı ve eşleşen SAN sınıfını gerektirmelidir. Envanterler ayrıca derleme sistemlerini, komut satırı araçlarını, agent'ları ve paketlenmiş uygulamaları kapsamalıdır; çünkü internete dönük web servisleri ilgili tek runtime sınıfı değildir.

Neden önemli

Makale, tek bir CVE'den çok zayıflık raporlamasındaki tekrarlayan bir başarısızlıkla ilgili: Geniş bir parmak izi sayısını savunmasız ana makine sayısına dönüştüren manşetler veya CVE filtresinden gelen sıfır sonucu güvenlik kanıtı olarak görme. CVE-2026-105483 yararlı bir örnek, çünkü sömürme runtime sürümüne ve sertifika politikasına bağlıdır ve ikisi de parmak izinin ardında yer alır. Önerilen uygulama, iki katmanı ayrı tutmaktır: Taramaların tam olarak ne bulduğunu belirten bir dış katman ve etkilenen sürümleri çalıştırdığı doğrulanmış sistemleri, erişilebilir güven kararları olan istemcileri, yama durumunu ve kalan riski adlandıran bir iç katman. Gönderiye göre doğru etiketler, analistlerin sayıları şişirmeden zaman içinde ölçüm çalışmalarını karşılaştırmasını sağlayan şeydir.