Node.js corrige fallos graves de TLS y Brotli en sus ramas 26, 24 y 22

Node.js publicó el 21 de octubre de 2026 versiones de seguridad para 26.x, 24.x y 22.x. El lote corrige vulnerabilidades de severidad alta que afectan a la validación TLS y al decodificador Brotli, además de actualizar dependencias críticas como OpenSSL y Undici.

Los equipos que despliegan servicios en Node.js tienen una actualización urgente sobre la mesa: el proyecto publicó el 21 de octubre de 2026 versiones de seguridad para las ramas 26.x, 24.x y 22.x, con correcciones que tocan piezas especialmente sensibles del runtime, desde la validación TLS hasta el tratamiento de contenido comprimido con Brotli. La severidad máxima que corrigen las tres ramas se queda en alta, un listón suficiente para priorizar el parcheo en producción.

El bloque más delicado se concentra en varios bypass relacionados con la comprobación del nombre de host en certificados TLS. En Node.js 26.x y 24.x se corrige un caso en el que la verificación puede fallar si una IP se representa con dígitos de ancho completo, registrado como CVE-2026-105483. A esto se suma otro bypass, presente también en 22.x, que aparece cuando el host se resuelve de forma laxa a una dirección IP, CVE-2026-106069. En paralelo, el proyecto corrige una validación incorrecta de certificados en hostnames IPv4 no canónicos que permite autenticar extremos IP con DNS SANs, CVE-2026-106072, de severidad media.

La actualización también tapa un fallo especialmente serio en el decodificador Brotli: una escritura fuera de límites que puede abrir la puerta a ejecución remota de código, CVE-2026-111497. Es el tipo de bug que obliga a mirar primero los servicios expuestos a Internet y cualquier flujo que acepte o procese respuestas comprimidas.

En el terreno de red aparece otro ajuste relevante: CVE-2026-105481 corrige un comportamiento con sockets keep alive que permite procesar una respuesta escrita antes de que se enviara la petición. También se aborda un problema en dns.resolve que trunca nombres que contienen el carácter NUL, CVE-2026-105482, catalogado con severidad alta.

Hay más cambios con impacto práctico. CVE-2026-106074 corrige un comportamiento en crypto.randomUUID() y randomInt() por el que cachés de entropía pueden quedar guardadas en snapshots de arranque y SEAs, lo que lleva a que procesos distintos repitan valores. En Node.js 26.x entran además dos correcciones de severidad baja, una relacionada con ZipFile (CVE-2026-106070) y otra con una concesión excesiva en el modelo de permisos del sistema de ficheros por un lookup radix con comodines (CVE-2026-106071). Las tres ramas resuelven un bypass del modelo de permisos con fs.realpathSync, CVE-2026-106073.

El lote llega acompañado de actualizaciones de dependencias para atajar vulnerabilidades ya conocidas en el ecosistema: c-ares y Undici se actualizan en 26.x, 24.x y 22.x; OpenSSL se actualiza en 24.x y 22.x; y SQLite se actualiza en 22.x. Además, se actualiza ca-cert por el incidente del compromiso de una CA intermedia de eMudhra, un recordatorio de que la confianza en certificados también depende de la higiene de la cadena de certificados.

La recomendación operativa es clara: actualizar cuanto antes a las versiones publicadas ese 21 de octubre en la rama que corresponda, y empezar por los servicios perimetrales. Conviene revisar inventarios de runtimes y contenedores, rotar imágenes con el Node.js corregido y validar en preproducción los flujos de TLS y la resolución DNS si se usan configuraciones poco estándar. Y, si el entorno aún vive en versiones fuera de soporte, el aviso sirve de empujón: en cuanto aparece una publicación de seguridad, esas versiones se consideran afectadas y lo sensato es migrar a una rama soportada siguiendo el calendario oficial. Para no enterarse tarde, lo más práctico es suscribirse a los avisos de seguridad del proyecto.

Más información

• nodejs.org – Wednesday, October 21, 2026 Security Releases : https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
• nodejs.org – Wednesday, October 21, 2026 Security Releases : https://nodejs.org/es/blog/vulnerability/october-2026-security-releases
• GitHub – nodejs/node SECURITY.md : https://github.com/nodejs/node/blob/main/SECURITY.md

La entrada Node.js corrige fallos graves de TLS y Brotli en sus ramas 26, 24 y 22 se publicó primero en Una Al Día.