Node.js 22.23.5, 24.22.3 и 26.13.1 устранили 16 уязвимостей HTTP/2 и TLS
Node.js выпустил обновления 22.23.5, 24.22.3 и 26.13.1, которые закрывают 16 уязвимостей в HTTP/2 и TLS.
11 ноября 2026 года вышли релизы Node.js 22.23.5, 24.22.3 и 26.13.1. Они исправляют 16 уязвимостей, семь из которых имеют высокий уровень опасности. Основные проблемы затрагивают обработку протокола HTTP/2 и TLS-соединений.
Версия 22.23.5 закрывает 11 уязвимостей. Релизы 24.22.3 и 26.13.1 устраняют все 16 проблем. Обновления касаются веток Maintenance LTS, LTS и текущей LTS «Lithium».
Node.js security release исправляет критические CVE
Среди исправлений выделяется CVE-2026-123864. Уязвимость в обработке TLS-записей нулевой длины позволяет удалённому клиенту читать память других соединений, включая закрытые ключи. Проблема затрагивает только HTTPS, обычный HTTP остаётся неуязвимым.
CVE-2026-123863 даёт возможность прервать работу HTTP/2-сервера через reachable assertion в процессе завершения сессии. CVE-2026-123865 приводит к утечке памяти и файловых дескрипторов при ошибке протокола. CVE-2026-123866 создаёт use-after-free в teardown потоков, из-за чего сервер может отправить освобождённую память клиенту.
Дополнительные уязвимости включают CVE-2026-126051 в TLS-рукопожатиях, CVE-2026-123872 в renegotiation TLS 1.2 и CVE-2026-123874 в respondWithFile. Средние и низкие риски связаны с переполнением Alt-Svc, обходом mTLS и раскрытием учётных данных прокси.
Зависимости и рекомендации по обновлению
Обновления затронули библиотеки llhttp, undici и sqlite. Предыдущий релиз от 21 октября 2026 года уже устранял уязвимость Brotli CVE-2026-111497. Предварительное уведомление появилось 3–4 ноября.
Разработчикам рекомендуется установить новые версии и перезапустить процессы. Старые экземпляры Node.js остаются в памяти до перезапуска. Ветка 20.x больше не получает исправлений. На момент 12 ноября 2026 года подтверждённых эксплойтов в реальной среде не зафиксировано.
Российские пользователи Astra Linux и других дистрибутивов могут применять обновления через стандартные репозитории. Дополнительных региональных ограничений или инцидентов не зарегистрировано.
Частые вопросы
Какие версии Node.js нужно обновить в первую очередь?
В первую очередь обновляют 22.23.5, 24.22.3 и 26.13.1. Эти релизы закрывают все 16 уязвимостей, включая CVE-2026-123864.
Затрагивает ли CVE-2026-123864 обычный HTTP?
Нет, уязвимость проявляется только в HTTPS-соединениях. Cleartext-сервера node:http остаются неуязвимыми.
Нужно ли перезапускать приложения после обновления?
Да, старый процесс Node.js продолжает работать в памяти до перезапуска. Обновление без перезапуска не устраняет риск.
Есть ли подтверждённые эксплойты этих уязвимостей?
На 12 ноября 2026 года подтверждённых эксплойтов в реальной среде не зафиксировано.
Комментарии 2