Los parches de seguridad de Node.js que se anunciaron la semana pasada ya están disponibles. El 11 de noviembre de 2026 el proyecto publicó versiones nuevas para sus tres ramas con soporte, y corrigen 16 fallas.
Siete son de gravedad alta y casi todas están en HTTP/2 y TLS, las piezas que usan los servidores para hablar con los navegadores de forma rápida y cifrada. Si tienes una API o un sitio hecho con Node.js, toca actualizar.
¿Qué pasó?
Las versiones corregidas son Node.js 22.23.5, 24.22.3 y 26.13.1. Según el aviso oficial, el conjunto incluye 7 fallas altas, 6 medias y 3 bajas. Algunas afectan solo a las ramas 24 y 26, y otras a las tres.
La más delicada es la CVE-2026-123864. En servidores HTTPS, una escritura vacía en la conexión cifrada podía hacer que Node.js leyera memoria que ya no debía usar. El resultado: pedazos de la memoria del servidor, incluso la llave privada TLS, podían terminar dentro del cuerpo de una petición. El servidor HTTP sin cifrado no está afectado.
Otras fallas altas permiten que un cliente sin autenticar tumbe el proceso con conexiones HTTP/2 manipuladas, que se acumule memoria hasta agotarla o que se envíe a otro cliente memoria liberada. Una más, en TLS 1.2, dejaba que un cliente cambiara de nombre de servidor a mitad de la conexión y se saltara la revisión de certificados de cliente.
¿Por qué te importa?
HTTP/2 y TLS están detrás de casi cualquier backend moderno, desde una API de Express hasta un sitio con Next.js en tu propio servidor. Una falla que tumba el proceso significa caídas del servicio, y una que filtra memoria puede exponer datos de otros usuarios.
El aviso también actualiza componentes internos como llhttp, undici y sqlite. Ninguna de las fuentes reporta que estas fallas se estén aprovechando en ataques, pero ahora que los detalles son públicos es buen momento para no esperar.
Las versiones que ya llegaron al fin de su vida, como Node.js 20, siempre se consideran afectadas y no reciben estos parches.
¿Qué puedes hacer?
- Revisa qué versión usas con
node -ven cada servidor, contenedor y pipeline de CI. - Actualiza a 22.23.5, 24.22.3 o 26.13.1, según tu rama, y reinicia los servicios para que tomen la versión nueva.
- Si usas imágenes de Docker, vuelve a construirlas con la imagen base actualizada.
- Si todavía tienes Node.js 20 o anterior, planea migrar a la rama 22 o 24.
- Si tu servidor HTTPS manejaba tráfico con una versión vulnerable, considera renovar tus certificados y llaves TLS, como sugiere Cyber Security News.
Sigue leyendo
- Node.js lanzará parches de gravedad alta el 11 de noviembre
- Node.js corrige 10 fallas y una permite ejecutar código: actualiza
Fuentes
- Node.js: Node.js 24.22.3 (LTS)
- GBHackers: Node.js Patches 16 Security Vulnerabilities Allowing Remote Server Crashes, Memory Leaks, and Authentication Bypass
- Cyber Security News: Node.js Fixes 16 Security Flaws That Could Expose TLS Private Keys and Crash Servers Remotely
Imagen de portada: foto de Sergei Starostin en Pexels.