Node.js ha lanzado actualizaciones de seguridad para sus ramas 26.x, 24.x y 22.x con el fin de corregir diez vulnerabilidades. Entre ellas destacan cuatro fallos de alta gravedad que afectan a las consultas de DNS, las comprobaciones de certificados TLS y la descompresión de Brotli. Las versiones corregidas son la 26.12.1, 24.22.1 y 22.23.4. El riesgo más crítico identificado es la posibilidad de una ejecución remota de código a través del decodificador de Brotli.

Node.js ha lanzado actualizaciones de seguridad para sus ramas 26.x, 24.x y 22.x para solucionar diez vulnerabilidades, incluyendo cuatro fallos de severidad alta que afectan a las búsquedas de DNS, las comprobaciones de certificados TLS y la descompresión de Brotli.

Los detalles de la versión suministrada identifican a las 26.12.1, 24.22.1 y 22.23.4 como las versiones parcheadas. El resultado potencial más grave es la ejecución remota de código a través del decodificador de Brotli.

La actualización de seguridad de octubre también cubre el manejo de conexiones HTTP, valores aleatorios repetidos, el procesamiento de archivos ZIP y las comprobaciones de permisos del sistema de archivos. Node.js programó los lanzamientos para el 21 de octubre de 2026, y señaló la severidad alta como el riesgo más elevado en las tres ramas compatibles.

El CVE-2026-111497 afecta al decodificador de Brotli en las tres líneas de lanzamiento. El aviso proporcionado describe una escritura fuera de límites que permite la ejecución remota de código.

Esto significa que el decodificador puede escribir fuera de su área de memoria prevista. Debes prestar especial atención durante la planificación del parche a las aplicaciones que procesen contenido comprimido con Brotli no confiable. Sin embargo, el aviso suministrado no explica las condiciones exactas necesarias para la explotación.

Dos vulnerabilidades de severidad alta afectan a las comprobaciones del nombre de host del certificado TLS. El CVE-2026-105483 permite omitir la verificación del nombre de host cuando una dirección IP utiliza dígitos de ancho completo, afectando a Node.js 26.x y 24.x.

Node.js lanza actualizaciones de seguridad

El CVE-2026-106069 involucra nombres de host que se resuelven vagamente a una dirección IP y afecta a las tres ramas. Ambos se refieren a si un certificado coincide correctamente con el destino previsto.

El cuarto problema de severidad alta, CVE-2026-105482, provoca que dns.resolve trunque los nombres que contienen un carácter NUL. Afecta a las tres líneas de lanzamiento. Este fallo plantea preocupaciones para las aplicaciones que dependen de un manejo consistente de los nombres antes de realizar búsquedas de DNS.

Estos arreglos siguen a los parches anteriores de omisión de autenticación TLS de Node.js, que también abordaron diferencias en el manejo de nombres de host y la verificación de certificados.

Tres problemas de severidad media amplían el alcance de la actualización. El CVE-2026-105481 permite que un socket keep-alive procese una respuesta escrita antes de que se enviara su solicitud.

El CVE-2026-106072 se refiere a una validación incorrecta del certificado para nombres de host IPv4 no estándar, permitiendo que los nombres de certificados DNS autentiquen puntos finales IP.

ID de CVE	Severidad	Vulnerabilidad	Versiones afectadas
CVE-2026-105482	Alta	Truncamiento de nombre DNS	26.x, 24.x, 22.x
CVE-2026-105483	Alta	Omisión de verificación de nombre de host TLS	26.x, 24.x
CVE-2026-106069	Alta	Omisión de verificación de nombre de host TLS	26.x, 24.x, 22.x
CVE-2026-111497	Alta	RCE del decodificador Brotli	26.x, 24.x, 22.x
CVE-2026-105481	Media	Fallo de orden en solicitud-respuesta HTTP	26.x, 24.x, 22.x
CVE-2026-106072	Media	Validación incorrecta de nombre de host de certificado TLS	26.x, 24.x, 22.x
CVE-2026-106074	Media	Valores aleatorios criptográficos repetidos	26.x, 24.x, 22.x
CVE-2026-106070	Baja	Fallo de validación ZIP expone datos no confiables	26.x
CVE-2026-106071	Baja	Omisión de acceso al sistema de archivos del Modelo de Permisos	26.x
CVE-2026-106073	Baja	Omisión de permisos de fs.realpathSync	26.x, 24.x, 22.x

El CVE-2026-106074 afecta a los datos aleatorios almacenados en caché en instantáneas de inicio y aplicaciones ejecutables únicas. Los procesos creados a partir de estos artefactos pueden repetir valores devueltos por crypto.randomUUID() y crypto.randomInt(). Los tres fallos de severidad media afectan a las ramas 26.x, 24.x y 22.x.

Los problemas restantes tienen calificaciones bajas. El CVE-2026-106070 se refiere a bytes controlados por el atacante que se devuelven tras fallar las comprobaciones de la cabecera ZIP. El CVE-2026-106071 puede otorgar un acceso excesivo al sistema de archivos mediante la coincidencia de comodines. Ambos afectan a la 26.x.

El CVE-2026-106073 omite las comprobaciones del Modelo de Permisos a través de fs.realpathSync en las tres ramas. Vulnerabilidades previas del Modelo de Permisos de Node.js también expusieron brechas en las restricciones del sistema de archivos.

Los detalles del lanzamiento también enumeran actualizaciones para c-ares, certificados CA, Undici, OpenSSL y SQLite, con una cobertura de ramas que varía según el componente.

Debes desplegar la versión parcheada correspondiente, reconstruir las imágenes de las aplicaciones donde sea necesario y reiniciar los servicios afectados. Las pruebas deben cubrir las conexiones HTTPS salientes, el manejo de DNS, el contenido comprimido y las cargas de trabajo con restricciones de permisos.

Tu equipo debe consultar el anuncio oficial de seguridad de Node.js y evitar las versiones no compatibles. El proyecto advierte que las ramas que han llegado al final de su vida útil siguen afectadas incluso después de los lanzamientos de seguridad, por lo que migrar a una rama compatible es una parte importante de la remediación.

Nota de verificación editorial: El anuncio en vivo recuperado durante la investigación aún mostraba el aviso de lanzamiento anticipado, sin los CVE detallados ni las descargas parcheadas. Los detalles anteriores provienen del texto de lanzamiento que suministraste y deben ser verificados con el anuncio actualizado antes de la publicación.

Fuentes:
https://cybersecuritynews.com/node-js-releases-security-updates/