Node.js corrige 10 vulnerabilidades, una con RCE en Brotli: actualiza hoy

El 21 de octubre de 2026 el proyecto Node.js publicó versiones de seguridad para las líneas 22.x, 24.x y 26.x. Corrigen 10 vulnerabilidades. La más seria es CVE-2026-111497: una escritura fuera de límites en el decodificador Brotli que permite ejecución remota de código.

Un matiz importante: el aviso oficial clasifica la más grave como severidad alta (High), no «crítica», y no menciona ningún problema crítico. Aun así, una RCE en una librería que procesa datos de red merece actualizarse cuanto antes.

Versiones parcheadas

Las versiones que ya llegaron a fin de vida también están afectadas y no recibirán parche.

Las 10 vulnerabilidades

La versión también actualiza dependencias internas: c-ares, Undici, OpenSSL (22.x y 24.x), SQLite (22.x) y un cambio en los certificados raíz por el compromiso de una CA intermedia (eMudhra).

Por qué importa lo de Brotli

Brotli es un formato de compresión que los servidores web y las APIs usan de forma habitual. Node lo incluye en el propio binario, de modo que no basta con actualizar una librería Brotli del sistema operativo: necesitas el nuevo binario de Node.

Según análisis de terceros del aviso, fetch() y Express 5 descomprimen Brotli automáticamente, lo que facilita llegar al código vulnerable cuando tu aplicación procesa datos que no controla, como respuestas de APIs externas. El aviso oficial solo describe la falla en una línea, así que conviene no suponer más de lo publicado. Hasta ahora no se han reportado ataques, pero la ventana entre parche y explotación suele ser corta.

Cómo actualizar

1. Revisa tu versión: node -v en el servidor y, si usas contenedores, la etiqueta de tu imagen base.
2. Instalación con nvm o fnm: nvm install 24 (o la línea que uses) y nvm alias default 24.
3. Docker: actualiza FROM node:24 a una imagen reconstruida (node:24.22.1) y vuelve a construir sin caché.
4. Plataformas administradas (Vercel, Railway, Render…): confirma que tu proyecto usa la última versión menor de tu línea; en la mayoría se fija en los ajustes del proyecto.
5. Reinicia los procesos (PM2, systemd, contenedores). Un proceso ya en marcha sigue usando el binario viejo en memoria.
6. Si usas snapshots de arranque o SEA (Single Executable Applications): vuelve a generarlos con la versión nueva por CVE-2026-106074; actualizar el binario no basta.
7. Corre tus pruebas y revisa que npm audit no reporte nada adicional.

Si todavía estás en una línea sin soporte (por ejemplo Node 18 o 20), aprovecha para migrar a 24 LTS: el parche no llegará a esas versiones.

Qué revisar además

• Que las llamadas salientes verifiquen siempre el certificado TLS y no desactiven la validación (rejectUnauthorized: false).
• Que no uses el Permission Model como única barrera de seguridad mientras no actualices.
• Que tu pipeline de CI instale una versión fijada y no «latest» sin control.

Referencias

• Node.js Security Releases: October 21, 2026 (aviso oficial)
• Todos los avisos de seguridad de Node.js
• Calendario de versiones de Node.js
• Node.js security advisory: Brotli decoder RCE (CVE-2026-111497) (Vercel)
• Node.js October 2026 Security Releases (CloudLinux)

¿Tu aplicación Node.js corre en un servidor que nadie revisa? En Codegea auditamos tu versión de Node, actualizamos y reconstruimos tu despliegue y dejamos mantenimiento y monitoreo continuo para que no dependas de enterarte por las noticias. Cuéntanos tu caso.