Обновление Node.js 22.23.4, 24.22.1 и 26.12.1 исправляет четыре уязвимости высокой серьёзности
22 октября 2026 года вышли исправленные версии Node.js, закрывающие четыре уязвимости с высоким уровнем риска в компонентах DNS, TLS и Brotli.
21 октября 2026 года проект Node.js опубликовал обновления 22.23.4 (LTS), 24.22.1 (LTS) и 26.12.1 (Current). Релизы устраняют десять уязвимостей, четыре из которых получили оценку High. Исправления затрагивают все поддерживаемые ветки, включая обработку DNS-запросов, проверку TLS-сертификатов и декодирование Brotli.
Уязвимость CVE-2026-111497 в Brotli-декодере позволяет удалённое выполнение кода при обработке недоверенных сжатых данных. CVE-2026-105483 и CVE-2026-106069 обходят проверку имени хоста в TLS при использовании полных цифр в IP-адресах или неканонических разрешений. CVE-2026-105482 приводит к усечению DNS-имён, содержащих нулевые байты.
Подробности исправлений в Node.js security release
В обновлениях также закрыты шесть уязвимостей средней и низкой степени риска. Среди них — неправильный порядок ответов в HTTP keep-alive агенте (CVE-2026-105481), повторное использование случайных значений в снапшотах (CVE-2026-106074) и обход модели разрешений через realpathSync. Дополнительно обновлены корневые сертификаты NSS до версии 3.131.1, библиотека c-ares, OpenSSL в ветках 22.x и 24.x, SQLite в 22.x и данные часовых поясов.
Разработчики рекомендуют обновиться немедленно, особенно приложениям, обрабатывающим внешние данные через Brotli, DNS или TLS. Версии, достигшие конца поддержки, остаются уязвимыми. Официальные заметки опубликованы на nodejs.org в разделе блога уязвимостей.
Изменения в 26.12.1 включают бэкпорты V8 и обновление Undici. В LTS-ветках 22 и 24 исправлены компоненты zlib и OpenSSL. Все патчи протестированы и доступны через стандартные каналы установки Node.js.
Контекст и значение обновлений для разработчиков
Релизы от 21 октября 2026 года продолжают практику регулярных security releases Node.js. Предыдущие исправления выходили в августе и июне того же года. Уязвимости в TLS и Brotli затрагивают широкий круг приложений — от веб-серверов до API-шлюзов, использующих сжатие или внешние сертификаты.
Организации, работающие с Node.js в production, должны проверить версии зависимостей и применить обновления в ближайшие дни. Мониторинг списка nodejs-sec позволяет получать уведомления о новых advisories. На момент публикации подтверждённых случаев эксплуатации не зафиксировано.
Обновления доступны на официальном сайте nodejs.org и через менеджеры пакетов. Разработчики могут также отслеживать изменения в репозитории Node.js на GitHub для детального анализа патчей.
Частые вопросы
Какие версии Node.js обновлены 21 октября 2026 года?
Выпущены Node.js 22.23.4 LTS, 24.22.1 LTS и 26.12.1 Current. Они закрывают десять уязвимостей, четыре из которых высокой серьёзности.
Какие уязвимости исправлены в новом обновлении Node.js?
Исправлены CVE-2026-105482, CVE-2026-105483, CVE-2026-106069 и CVE-2026-111497, связанные с DNS, TLS и Brotli-декодером.
Нужно ли обновлять Node.js немедленно?
Да, особенно для приложений, обрабатывающих недоверенные данные через TLS или Brotli. EOL-версии остаются уязвимыми.
Где скачать исправленные версии Node.js?
Обновления доступны на nodejs.org и через стандартные пакетные менеджеры. Полные заметки опубликованы в разделе vulnerability блога проекта.
Комментарии 2