Node.js lanzó actualizaciones críticas de seguridad en todas sus líneas de lanzamiento activas el 13 de enero de 2026, parcheando vulnerabilidades que podrían provocar fugas de memoria, ataques de denegación de servicio y omisiones de permisos. Estas versiones corrigen tres fallos de alta gravedad, entre otros, instando a actualizaciones inmediatas en los sistemas afectados. Vulnerabilidades de alta gravedad.

Node.js lanzó actualizaciones críticas de seguridad en todas sus líneas de lanzamiento activas el 13 de enero de 2026, parcheando vulnerabilidades que podrían provocar fugas de memoria, ataques de denegación de servicio (DoS) y bypass de permisos.

Estas versiones corrigen tres fallos de gravedad alta, entre otros, instando a una actualización inmediata en los sistemas afectados.

Vulnerabilidades de gravedad alta

Los problemas de gravedad alta dominan esta actualización, con CVE-2025-55131 exponiendo memoria no inicializada en Buffer.alloc y Uint8Array debido a condiciones de carrera en el módulo vm, lo que podría filtrar secretos como tokens.

CVE-2025-55130 permite ataques mediante enlaces simbólicos para evadir banderas de permisos del sistema de archivos, como --allow-fs-read, habilitando el acceso arbitrario a archivos. CVE-2025-59465 bloquea servidores HTTP/2 mediante tramas HEADERS malformadas, desencadenando errores no manejados en TLSSocket para DoS remoto.

Problemas de gravedad media

Cuatro vulnerabilidades de gravedad media incluyen CVE-2025-59466, donde async_hooks hace que los errores de desbordamiento de pila sean imposibles de capturar, evitando manejadores para DoS. CVE-2025-59464 filtra memoria en el procesamiento de certificados de cliente TLS mediante conversiones UTF-8 de OpenSSL.

CVE-2026-21636 evade permisos de red mediante sockets de dominio Unix en el modelo experimental de la versión 25. CVE-2026-21637 permite que las devoluciones de llamada TLS PSK/ALPN lancen excepciones que bloqueen servidores o filtren descriptores de archivo (FD).

Corrección de gravedad baja

CVE-2025-55132 permite a fs.futimes() modificar marcas de tiempo sin permisos de escritura, debilitando el aislamiento de solo lectura en modelos de permisos desde la versión 20 hasta la 25.

Las actualizaciones incluyen c-ares 1.34.6 y undici (6.23.0 o 7.18.0) para abordar vulnerabilidades públicas. Las nuevas versiones son Node.js 20.20.0, 22.22.0, 24.13.0 y 25.3.0, disponibles a través de los canales estándar.

Node.js instó a los usuarios a priorizar las actualizaciones, especialmente para servidores HTTP/2 en producción y entornos con permisos habilitados, ya que las ramas al final de su vida útil siguen expuestas.

El equipo de Node.js agradeció a múltiples investigadores por sus informes, destacando la colaboración comunitaria para asegurar el ecosistema. Varios aplazamientos garantizaron pruebas exhaustivas antes del lanzamiento de hoy.