O Node.js publicou em 21 de outubro atualizações de segurança para as linhas 26, 24 e 22, corrigindo dez vulnerabilidades, quatro delas de gravidade alta. As versões corrigidas são a 26.12.1, a 24.22.1 e a 22.23.4, segundo o aviso do projeto relatado pelo Cyber Security News.
A mais severa está no decodificador Brotli, identificada como CVE-2026-111497. É uma escrita fora dos limites de memória que pode levar à execução remota de código, e atinge as três linhas. O aviso não detalha as condições necessárias para a exploração.
Duas falhas de alta gravidade afetam a verificação de nome no TLS. A CVE-2026-105483 contorna a checagem quando o endereço usa dígitos de largura completa, e a CVE-2026-106069 falha com nomes que resolvem de forma imprecisa para um endereço IP. Na prática um certificado pode ser aceito para um destino que não é o pretendido.
A quarta alta está no DNS. A CVE-2026-105482 faz a função dns.resolve truncar nomes que contenham caractere nulo, o que abre espaço para inconsistência entre o nome consultado e o nome efetivamente resolvido.
Entre as de gravidade média estão o processamento fora de ordem em socket keep-alive do HTTP, a validação incorreta de certificado para nome com endereço IPv4 fora do padrão, e a repetição de valores aleatórios criptográficos em snapshot de inicialização e em aplicação de executável único, que afeta crypto.randomUUID e crypto.randomInt.
As três de gravidade baixa tratam de bytes controlados pelo atacante devolvidos após falha na validação de cabeçalho ZIP, de acesso excessivo a arquivo por curinga no Permission Model, e de contorno desse modelo por fs.realpathSync. O pacote também atualizou c-ares, certificados de CA, Undici, OpenSSL e SQLite.
A correção é instalar a versão da linha em uso, reconstruir as imagens de aplicação quando houver e reiniciar os serviços. O projeto recomenda testar conexão HTTPS de saída, tratamento de DNS, conteúdo comprimido com Brotli e carga com restrição de permissão. Linha fora de suporte não recebeu correção, então quem estiver nessa situação precisa migrar.
