Node.js publicó el 21 de octubre de 2026 actualizaciones de seguridad para sus ramas 26.x, 24.x y 22.x. El conjunto de parches corrige vulnerabilidades de severidad alta que afectan la validación TLS y el decodificador Brotli, y también incorpora revisiones de dependencias críticas como OpenSSL y Undici.
Para los equipos que mantienen servicios basados en este runtime la prioridad es clara: las correcciones alcanzan componentes especialmente sensibles y la severidad máxima que abordan las tres ramas es alta, un nivel que justifica aplicar los parches en producción lo antes posible.
Buena parte del trabajo se concentra en la verificación del nombre de host de los certificados TLS. En Node.js 26.x y 24.x se corrige un caso en el que dicha verificación puede fallar cuando una dirección IP se representa con dígitos de ancho completo, identificado como CVE-2026-105483. Se suma un segundo bypass, presente también en 22.x, que se manifiesta cuando el host se resuelve de manera laxa a una dirección IP (CVE-2026-106069). El proyecto corrigió además una validación incorrecta de certificados en hostnames IPv4 no canónicos, que permitía autenticar extremos IP mediante DNS SANs (CVE-2026-106072), catalogado con severidad media.
Una de las correcciones más delicadas afecta al decodificador Brotli: una escritura fuera de límites que puede abrir la puerta a la ejecución remota de código (CVE-2026-111497). Ante un fallo de este tipo conviene revisar en primer lugar los servicios expuestos a Internet y cualquier flujo que acepte o procese respuestas comprimidas.
En el ámbito de la red, CVE-2026-105481 resuelve un comportamiento anómalo en sockets keep alive, que permitía procesar una respuesta escrita antes de que la petición fuera enviada. Por otra parte, CVE-2026-105482, de severidad alta, soluciona un problema en dns.resolve que trunca los nombres que contienen el carácter NUL.
El lote incluye otros cambios con impacto práctico. CVE-2026-106074 corrige un comportamiento en crypto.randomUUID() y randomInt() por el cual cachés de entropía podían quedar almacenadas en snapshots de arranque y SEAs, con el resultado de que procesos distintos repetían valores. Node.js 26.x recibe, además, dos correcciones de severidad baja: una relacionada con ZipFile (CVE-2026-106070) y otra ligada a una concesión excesiva en el modelo de permisos del sistema de archivos, provocada por un lookup radix con comodines (CVE-2026-106071). Las tres ramas corrigen también un bypass del modelo de permisos mediante fs.realpathSync (CVE-2026-106073).
Las versiones de seguridad se acompañan de actualizaciones de dependencias para mitigar vulnerabilidades ya conocidas en el ecosistema: c-ares y Undici se actualizan en 26.x, 24.x y 22.x; OpenSSL se actualiza en 24.x y 22.x; y SQLite lo hace en 22.x. También se actualiza ca-cert a raíz del incidente del compromiso de una CA intermedia de eMudhra, un recordatorio de que la confianza en los certificados depende también del mantenimiento de la cadena de certificación.
La recomendación operativa es actualizar lo antes posible a las versiones publicadas ese 21 de octubre en la rama que corresponda, comenzando por los servicios perimetrales. Conviene revisar los inventarios de runtimes y contenedores, regenerar las imágenes con la versión corregida de Node.js y validar en preproducción los flujos de TLS y la resolución DNS cuando se usen configuraciones poco habituales. Quienes aún operen con versiones fuera de soporte deben tener presente que, en cuanto se publica un aviso de seguridad, esas versiones se consideran afectadas, de modo que lo razonable es migrar a una rama soportada conforme al calendario oficial. Suscribirse a los avisos de seguridad del proyecto es la vía más práctica para no enterarse tarde.
Más información: nodejs.org – Wednesday, October 21, 2026 Security Releases (https://nodejs.org/en/blog/vulnerability/october-2026-security-releases y https://nodejs.org/es/blog/vulnerability/october-2026-security-releases) y el documento SECURITY.md del repositorio nodejs/node en GitHub (https://github.com/nodejs/node/blob/main/SECURITY.md).
Con Información de unaaldia.hispasec.com
