El proyecto Node.js ha programado actualizaciones de seguridad para sus líneas de lanzamiento 22.x, 24.x y 26.x a partir del miércoles 11 de noviembre de 2026. Estas actualizaciones están destinadas a corregir vulnerabilidades calificadas como ALTA en las tres ramas, permitiendo que los desarrolladores y administradores de sistemas preparen la implementación de los parches.

El proyecto Node.js ha programado actualizaciones de seguridad para sus líneas de lanzamiento 22.x, 24.x y 26.x para el miércoles 11 de noviembre de 2026 o poco después. El anuncio te da a ti, como desarrollador o administrador de sistemas, tiempo para prepararte para los parches que abordan vulnerabilidades calificadas como ALTAS en las tres ramas.

Cada línea de lanzamiento recibirá una corrección para al menos un problema de gravedad alta. Sin embargo, el aviso anticipado no enumera el recuento de vulnerabilidades, los identificadores CVE, los componentes afectados ni los números de versión corregidos. Tampoco proporciona detalles sobre los métodos de ataque o la explotación confirmada, lo que deja el riesgo técnico exacto sin aclarar hasta que haya más información disponible.

Las actualizaciones planificadas siguen a las correcciones de seguridad anteriores de Node.js que cubrían TLS, DNS y Brotli. Esos parches de octubre abordaron debilidades independientes en las comprobaciones de certificados, la resolución de nombres y el manejo de datos comprimidos.

Node2Shell añade preocupación

Un problema notable de octubre fue Node2Shell, rastreado como CVE-2026-111497, un fallo de gravedad alta en el decodificador Brotli incluido en Node.js. Afectó a las mismas tres líneas de lanzamiento y podría permitir que un atacante corrompa la memoria del proceso cuando una aplicación descomprima datos de Brotli maliciosos a través del módulo node:zlib.

El decodificador trataba incorrectamente un cambio de bloque inválido como una solicitud de más datos en lugar de un error permanente. Luego continuaba añadiendo bytes más allá de un búfer interno de ocho bytes. Dependiendo del comportamiento de la aplicación, esto podría causar una caída del sistema, exponer la memoria del proceso o permitir la ejecución remota de código.

Según el aviso oficial de octubre, Node2Shell fue solucionado en aquel lanzamiento de seguridad anterior. Las correcciones se implementaron en las versiones 22.23.4, 24.22.1 y 26.12.1. Por lo tanto, debes tratarlo como un antecedente separado y no como una vulnerabilidad confirmada en el conjunto de parches planificados para noviembre.

Versiones compatibles y lanzamientos antiguos

Node.js también te advierte que las versiones que han llegado al fin de su vida útil se ven afectadas cuando ocurren lanzamientos de seguridad. Por lo tanto, ejecutar una rama más antigua no debe considerarse una protección simplemente porque no aparezca en la lista de parches. El proyecto te orienta hacia un lanzamiento actualizado y compatible en lugar de continuar usando versiones no compatibles.

El calendario oficial de lanzamientos indica que Node.js 26.x tiene Soporte a Largo Plazo Activo, mientras que 24.x y 22.x están en soporte de Mantenimiento. Las ramas de mantenimiento siguen recibiendo actualizaciones de seguridad. La cobertura anterior de fallos de seguridad de Node.js que afectan a las ramas compatibles muestra por qué tú y tu equipo deben rastrear las actualizaciones del entorno de ejecución junto con los cambios de la aplicación.

De acuerdo con el aviso de seguridad oficial, el 11 de noviembre es un objetivo y no una fecha límite de publicación garantizada. Debes monitorizar el aviso para conocer la disponibilidad del lanzamiento y los detalles técnicos. Hasta que lleguen esos detalles, cualquier afirmación sobre ejecución remota de código, robo de datos o soluciones temporales específicas iría más allá de la información publicada.

Para la planificación del despliegue, el calendario de lanzamientos de Node.js te proporciona el estado de soporte y las fechas de fin de vida útil de cada rama. La prioridad inmediata es identificar qué líneas de lanzamiento utilizan tus aplicaciones y prepararte para probar las próximas actualizaciones.