El proyecto Node.js ha lanzado una actualización de seguridad para las líneas de versiones 26.x, 24.x y 22.x, con el objetivo de corregir múltiples vulnerabilidades de alto y medio riesgo. La actualización, disponible el miércoles 21 de octubre de 2026, incluye correcciones en dependencias clave como c-ares, OpenSSL, SQLite, Undici y ca-cert, así como mejoras en el manejo de certificados TLS y decodificadores de datos.
Entre las vulnerabilidades más críticas se encuentra CVE-2026-111497, un error en el decodificador Brotli que permite la ejecución remota de código mediante un acceso fuera de límites. Además, se han resuelto fallos en la validación de certificados TLS que permitían eludir la verificación de hostnames, incluyendo casos donde las direcciones IP estaban escritas con dígitos de ancho completo o mediante resoluciones sueltas. También se han parcheado problemas de seguridad en el sistema de archivos, como el sobre-otorgamiento de permisos mediante búsquedas de comodines y el bypass de modelos de permisos en fs.realpathSync.
El proyecto destaca que las versiones de fin de vida (End-of-Life) son especialmente vulnerables a estos parches. Los desarrolladores y administradores de sistemas deben actualizar sus instalaciones de inmediato para mitigar riesgos de seguridad. La comunidad de seguridad de Node.js, a través de la lista de correo nodejs-sec, ha sido informada de estos hallazgos, y el equipo de desarrollo ha agradecido a los reportistas y correctores por su colaboración en la identificación y resolución de estos fallos.