Si tienes un servidor, una API o cualquier herramienta que corra con Node.js, hoy toca actualizar. El proyecto publicó versiones nuevas para sus tres ramas con soporte y corrigió 10 fallas de seguridad.
La más seria está en el decodificador de Brotli y, según el aviso del proyecto que cita SecurityOnline, permite ejecutar código de forma remota. Hace unos días te contamos que este parche venía en camino; ya está disponible.
¿Qué pasó?
El 21 de octubre de 2026, Node.js lanzó las versiones 26.12.1 (rama Current), 24.22.1 (LTS más reciente) y 22.23.4 (LTS). LTS significa soporte a largo plazo: son las versiones pensadas para producción.
En total se corrigieron 10 fallas: 4 de gravedad alta, 3 media y 3 baja. La más delicada es la CVE-2026-111497, una escritura fuera de los límites de memoria en el decodificador de Brotli. Brotli es un formato que comprime datos, muy usado en la web. En palabras simples, un archivo comprimido mal formado podía hacer que Node escribiera donde no debe y abrir la puerta a ejecutar código ajeno. Afecta a las tres ramas.
Las otras tres fallas altas tienen que ver con conexiones seguras y nombres de dominio. Dos permitían saltarse la revisión que confirma que el certificado TLS de un sitio corresponde a su nombre, usando formas raras de escribir una dirección IP. La tercera hacía que la función que consulta nombres de dominio los recortara si traían un carácter especial.
Entre las de gravedad media está un problema con crypto.randomUUID(): en apps que arrancan desde un snapshot, una especie de foto guardada del estado inicial, cada proceso podía repetir los mismos valores aleatorios. Además, Node actualizó su lista de certificados de confianza para retirar la autoridad intermedia de eMudhra, que fue comprometida.
SecurityOnline reporta que el equipo de Node.js no tiene registro de ataques que aprovechen estas fallas.
¿Por qué te importa?
Node.js está detrás de muchísimas APIs, tiendas en línea y herramientas de desarrollo. Si tu app descomprime datos que llegan de fuera, como peticiones o archivos de usuarios, la falla de Brotli es la que más te debe preocupar.
Las fallas de TLS también importan si tu servidor se conecta a otros servicios por HTTPS, porque la revisión del certificado es lo que evita que alguien se haga pasar por ellos. Y si sigues en una rama que ya no recibe soporte, estos parches no te van a llegar.
¿Qué puedes hacer?
- Revisa qué versión usas con
node -ven la terminal de tu servidor y de tu equipo de desarrollo. - Actualiza a 26.12.1, 24.22.1 o 22.23.4, según la rama que tengas, desde nodejs.org o con tu gestor de versiones habitual.
- No olvides las imágenes de Docker y los pipelines de CI: cambia la etiqueta de la imagen base y vuelve a construir.
- Si tu versión ya no aparece en el calendario de soporte de Node.js, planea la migración a la 24 LTS cuanto antes.
- Después de actualizar, corre tus pruebas y revisa que las conexiones HTTPS a otros servicios sigan funcionando, por el cambio en la lista de certificados.
Sigue leyendo
Fuentes
- Node.js: Node.js 24.22.1 (LTS)
- SecurityOnline: Node.js Security Release Fixes Remote Code Execution Bug
Imagen de portada: foto de panumas nikhomkhai en Pexels.