El proyecto Node.js lanzó una actualización de seguridad crítica el 24 de marzo de 2026 para la rama de Soporte a Largo Plazo (LTS), designando la versión 20.20.2 ‘Iron’ como una versión de seguridad. La actualización resuelve siete vulnerabilidades registradas que abarcan el manejo de errores en TLS, el control de flujo en HTTP/2, fugas de tiempo en criptografía, omisiones en el modelo de permisos y una debilidad en las tablas hash de V8

El proyecto Node.js lanzó una actualización de seguridad crítica el 24 de marzo de 2026 para la rama de Soporte a Largo Plazo (LTS), designando la versión 20.20.2 ‘Iron’ como una versión de seguridad.

La actualización resuelve siete vulnerabilidades registradas que abarcan el manejo de errores en TLS, el control de flujo en HTTP/2, fugas de tiempo criptográficas, bypasses en el modelo de permisos y una debilidad en las tablas hash de V8, varias de las cuales pueden ser explotadas de forma remota sin autenticación.

Falla crítica en TLS SNICallback permite el cierre remoto del proceso

El problema más grave de este lote es CVE-2026-21637 (calificado como Alto), una corrección incompleta de una vulnerabilidad previa en TLS con el mismo identificador. Un fallo en el manejo de errores de TLS en Node.js deja las invocaciones de SNICallback desprotegidas contra excepciones síncronas, mientras que las callbacks equivalentes de ALPN y PSK ya habían sido solucionadas anteriormente.

Cuando un cliente TLS envía un valor inesperado de servername, la excepción lanzada evade todos los manejadores de errores de TLS y se propaga como una excepción no capturada, cerrando abruptamente el proceso de Node.js.

La solución, aportada por Matteo Collina, envuelve las invocaciones de SNICallback en un bloque try/catch. Cualquier servidor TLS que opere en versiones 20.x, 22.x, 24.x o 25.x donde SNICallback pueda lanzar excepciones está afectado.

Error en el control de flujo de HTTP/2 provoca fuga de memoria y DoS

CVE-2026-21714 (Medio) afecta a los servidores HTTP/2 de Node.js e implica códigos de error no manejados NGHTTP2_ERR_FLOW_CONTROL. Un cliente malicioso puede enviar frames WINDOW_UPDATE malformados en el stream 0, provocando una fuga de memoria en el proceso del servidor tras conexiones repetidas.

Si no se soluciona, esto conduce al agotamiento de recursos y, eventualmente, a una denegación de servicio (DoS). RafaelGSS implementó la corrección, añadiendo manejo explícito para este código de error de nghttp2 en la capa de origen de Node.js.

HashDoS en V8 mediante colisión de índices de array

CVE-2026-21717 (Medio) apunta al mecanismo interno de hashing de strings de V8, que convierte strings similares a enteros en sus valores numéricos, haciendo que las colisiones de hash sean predecibles de manera trivial.

Al crear una carga útil que fuerza muchas de estas colisiones, comúnmente mediante JSON.parse() en entradas controladas por el atacante, un adversario puede degradar significativamente el rendimiento del proceso de Node.js en un ataque clásico de HashDoS. Esta solución, aportada por Joyee Cheung, se aplicó en las capas de dependencias, compilación y pruebas.

Oráculo de tiempo criptográfico en la verificación de HMAC

CVE-2026-21713 (Medio) introduce un canal lateral de tiempo en la verificación de HMAC de la Web Cryptography de Node.js. El fallo surge al usar una comparación memcmp() no constante en el tiempo al validar firmas HMAC proporcionadas por el usuario, filtrando información de tiempo proporcional al número de bytes coincidentes.

Bajo condiciones de medición de alta resolución, esto puede actuar como un oráculo de tiempo para inferir valores HMAC. Filip Skokan resolvió el problema reemplazando la comparación con una primitiva segura en tiempo ya disponible en el código base.

Bypasses en el modelo de permisos

También se parchearon dos bypasses en el modelo de permisos de baja gravedad. CVE-2026-21715 permite que el código ejecutado bajo --permission con --allow-fs-read restringido utilice fs.realpathSync.native() para revelar la existencia de archivos y resolver rutas de enlaces simbólicos fuera de los directorios permitidos.

CVE-2026-21716 extiende la cobertura a lib/fs/promises, que igualmente carecía de aplicación de permisos. Ambos fueron corregidos por RafaelGSS. Además, CVE-2026-21710 aborda un vector de contaminación de prototipos en encabezados HTTP mediante el uso de un objeto con prototipo nulo para los campos headersDistinct y trailersDistinct.

Resumen de vulnerabilidades

Se insta a desarrolladores y administradores de sistemas a actualizar inmediatamente a las versiones parcheadas: v20.20.2, v22.22.2, v24.14.1 o v25.8.2.

Dado que CVE-2026-21637 no requiere autenticación y provoca directamente la terminación del proceso, los entornos que alojan servidores TLS accesibles públicamente deben tratar esta actualización como una prioridad crítica.

Los instaladores y binarios están disponibles para Windows, macOS, Linux (x64, ARM, PPC, s390x) y AIX a través del canal oficial de distribución de Node.js.