Node.js lança correções de segurança com falhas altas em DNS, TLS e Brotli
Em 21 de outubro de 2026, o Node.js publicou security releases nas linhas 26.x, 24.x e 22.x, com falhas altas em DNS, TLS e Brotli e versões v24.22.1 LTS e v26.12.1.
Ilustração: Christina Morillo (Pexels)
O projeto Node.js publicou, em 21 de outubro de 2026, um novo pacote de security releases — atualizações para fechar falhas de segurança — nas linhas 26.x, 24.x e 22.x. No blog oficial de vulnerabilidades, a entrada é a mais recente da série, com as versões Latest LTS (Long Term Support, suporte de longo prazo) v24.22.1 e Latest Release v26.12.1 em destaque no site.
Segundo o The Node.js Project, a rodada corrige problemas de severidade alta, média e baixa e atualiza dependências como c-ares, certificados CA, OpenSSL, SQLite e Undici. Para quem mantém APIs e back-ends em Node.js, o recado é claro: há patches disponíveis e permanecer em builds antigas deixa de ser só risco teórico.
O que aconteceu
Na quarta-feira, 21 de outubro de 2026, o blog de vulnerabilidades registrou novas Security Releases. O anúncio cobre as linhas 26.x, 24.x e 22.x e indica que a maior severidade tratada é alta (HIGH). As versões apontadas para download incluem Node.js v22.23.4, v24.22.1 e v26.12.1.
Entre as falhas altas, o projeto descreve um problema no DNS (Domain Name System, sistema de nomes de domínio): funções como dns.resolve*() e dns.reverse() podiam truncar silenciosamente nomes com o caractere NUL, fazendo a aplicação validar um hostname e resolver outro. Há também falhas na verificação de hostname em TLS (Transport Layer Security, camada de segurança de transporte), inclusive com IPs em dígitos de largura total ou formas não canônicas com zero à esquerda, capazes de aceitar certificado para um endpoint diferente do esperado.
Outra correção alta atinge o decodificador Brotli: entrada malformada podia escrever além do buffer interno, com risco de travamento, vazamento de memória ou execução remota de código ao descomprimir via node:zlib. No patamar médio, o anúncio cita reutilização inadequada de sockets keep-alive no HTTP Agent e caches de entropia de crypto.randomUUID() e randomInt() persistidos em snapshots e aplicativos executáveis únicos. Itens de severidade baixa envolvem o Permission Model e a API ZipFile, com impacto descrito sobretudo na linha 26.x.
O calendário do blog mostra que a correção de outubro não é isolada. Em 2026 já saíram Security Releases em 29 de julho, 18 de junho e 24 de março, além de um assessment sobre aviso do OpenSSL em janeiro e um texto de Joyee Cheung, de 24 de março, sobre hash de inteiros no V8 com resistência mínima a HashDoS. O projeto alerta que versões em fim de vida (End-of-Life) costumam permanecer afetadas e recomenda o Release Schedule oficial.
O que isso pode mudar
Na prática, a publicação tende a acelerar janelas de atualização em times de produto, DevOps e segurança — sobretudo onde Node.js resolve nomes dinamicamente, termina TLS ou descomprime dados externos. Empresas em linhas próximas ao fim do suporte podem, em tese, sentir mais pressão de auditoria e de clientes para migrar.
Também é razoável esperar que scanners de dependências incorporem as novas CVEs nas próximas varreduras. Quem empacota snapshots com APIs de aleatoriedade pode precisar revisar o pipeline de build. O impacto concreto, porém, depende do uso de DNS, TLS, compressão e do Permission Model em cada aplicação.
Para o mercado de infraestrutura, a sequência de avisos em 2026 reforça Node.js como peça crítica e alvo constante de pesquisa. O recado operacional é sóbrio: acompanhar o blog de vulnerabilidades, priorizar linhas ativamente suportadas e tratar v24.22.1 e v26.12.1 como referência imediata de higiene técnica.
Fontes: HN Frontpage
Leia mais em: www.mundodosnegocio.com.br