El proyecto Node.js ha lanzado actualizaciones de seguridad importantes que solucionan 11 vulnerabilidades en sus ramas activas: 22.x, 24.x y 26.x.

Las actualizaciones ya están disponibles en las versiones de Node.js v22.23.2, v24.18.1 y v26.5.1. El lanzamiento de seguridad de julio de 2026 incluye correcciones para vulnerabilidades relacionadas con el procesamiento de HTTP/2, el Modelo de Permisos, la reutilización de conexiones HTTPS, la resolución de DNS, el manejo de SQLite, las API de Zlib y el analizador HTTP.

Además, Node.js ha actualizado su dependencia integrada Undici a las versiones 8.9.0, 7.29.0 y 6.28.0, según la línea de lanzamiento, junto con la dependencia llhttp a la versión 9.4.3. Dos vulnerabilidades de HTTP/2 de gravedad alta podrían permitir que atacantes remotos interrumpan los servicios de Node.js.

La CVE-2026-56846 permite que los bloques de cabecera HTTP/2 retenidos evadan el límite configurado de maxSessionMemory. Un atacante podría enviar tráfico especialmente diseñado que consuma la memoria del servidor, provocando una condición de denegación de servicio.

La CVE-2026-56848 es otro problema de HTTP/2 de gravedad alta que afecta a todas las líneas de lanzamiento activas. Esta vulnerabilidad puede desencadenar una condición de heap use-after-free cuando la biblioteca subyacente nghttp2 procesa datos mientras recibe simultáneamente datos adicionales.

Tales problemas de seguridad de memoria pueden hacer que un proceso falle y pueden tener implicaciones de seguridad más amplias dependiendo de las condiciones de ejecución. La actualización también aborda la CVE-2026-58043, una vulnerabilidad de gravedad alta en el Modelo de Permisos de Node.js.

Node.js corrige fallos de seguridad

Las aplicaciones lanzadas con la opción --permission podrían conceder erróneamente acceso al sistema de archivos fuera de la lista de permitidos prevista debido a problemas en el manejo del límite del prefijo de radix-tree. Este fallo permite que un usuario con acceso a una ruta aprobada pueda potencialmente leer o escribir archivos en ubicaciones no deseadas.

Varios errores de gravedad media afectan a HTTPS y a la fiabilidad general de la aplicación. La CVE-2026-56850 podría provocar que los Agentes HTTPS reutilicen identidades de mTLS en solicitudes con diferentes certificados PFX. La CVE-2026-58040 corrige un parche anterior incompleto que podría permitir que la reutilización de la sesión TLS evadiera la verificación del nombre de host en las políticas de identidad.

Otras correcciones tienen como objetivo evitar caídas causadas por respuestas DNS excesivamente grandes y longitudes de TypedArray manipuladas. La CVE-2026-58042 puede causar que dns.resolveAny() se aborte cuando la respuesta contiene más de 256 registros A, mientras que la CVE-2026-58045 puede hacer fallar las API síncronas de Node:zlib al utilizar una longitud de bytes de TypedArray falsificada.

Vulnerabilidades parcheadas

Node.js también ha resuelto evasiones del Modelo de Permisos de menor gravedad relacionadas con los registros de eventos de traza y los informes de procesos, identificadas como CVE-2026-56847 y CVE-2026-58039. Ambas vulnerabilidades podrían permitir la escritura de archivos fuera de las rutas autorizadas por --allow-fs-write.

Finalmente, la CVE-2026-58044 corrige un problema con el truncamiento de la cabecera HTTP que podría permitir el contrabando de solicitudes en proxies de reenvío basados en Node.js.

Se insta a los administradores a actualizar inmediatamente, probar las dependencias de producción y retirar las versiones de Node.js que ya no tienen soporte, ya que estas permanecen vulnerables cuando se revelan los fallos de seguridad.