Node.js lanza correcciones de seguridad urgentes, incluido un fallo que ejecuta código de atacantes

El proyecto Node.js publicó el miércoles 21 de octubre actualizaciones de seguridad urgentes que corrigen 10 vulnerabilidades en el entorno de ejecución de JavaScript que mueve buena parte de los servidores web, las API y las herramientas de construcción del mundo. Las versiones corregidas son 22.23.4, 24.22.1 y 26.12.1. Cuatro fallos están clasificados como de gravedad alta, y el proyecto repitió su advertencia habitual de que las versiones al final de su vida útil siempre quedan afectadas cuando sale una corrección de seguridad, sin que llegue ninguna para ellas.

El peor de los cuatro

El fallo más grave, registrado como CVE-2026-111497, está en el decodificador Brotli que viene con Node.js. Brotli es un formato de compresión usado en toda la web. Unos datos comprimidos mal formados pueden obligar al decodificador a escribir fuera de su zona de memoria prevista, y los investigadores mostraron que el fallo puede llegar hasta la ejecución remota de código, corriendo con los permisos del propio proceso de Node.js. Todo depende de la exposición: Node.js no decodifica Brotli por su cuenta. Un servidor corre riesgo cuando su código, o una biblioteca que usa, descomprime datos Brotli controlados por un atacante, ya sea en una petición que recibe o en una respuesta que va a buscar a otro sitio.

Controles de identidad debilitados

Otros dos fallos de gravedad alta, CVE-2026-105483 y CVE-2026-106069, debilitan la verificación del nombre de host en los certificados TLS, el control que confirma que un servidor es de verdad quien dice ser. Formas inusuales de escribir una dirección IP, incluida una que usa dígitos de ancho completo, podían colar un certificado equivocado. Un cuarto fallo, CVE-2026-105482, obliga al resolutor DNS a cortar los nombres que contienen un carácter NUL. El resto de correcciones cubren confusiones de HTTP keep-alive, valores aleatorios repetidos en instantáneas de arranque, el manejo de ZIP y los controles de permisos.

Una limpieza silenciosa de certificados

La misma versión actualiza el paquete de autoridades de certificación de confianza que trae Node.js, retirando la confianza en los certificados ligados a la autoridad intermedia eMudhra comprometida. Mozilla, Google y Apple bloquearon esos certificados entre el 17 y el 19 de octubre, después de que saliera a la luz el compromiso de las claves de eMudhra, un caso que las autoridades indias siguen investigando. Las aplicaciones de Node.js rechazarán ahora también los certificados afectados.

Quién tiene que moverse

Quien corra Node.js 22, 24 o 26 en producción debería instalar las versiones corregidas y reiniciar sus servicios, porque una actualización no cambia un proceso que ya está en marcha. Los equipos que siguen en Node.js 20 o anterior tienen un problema más duro: esas líneas llegaron al final de su vida útil, Node 20 el 30 de abril de 2026, y nunca recibirán estas correcciones. Para ellos, la única opción segura es pasar a una línea con soporte.

Fuentes

Información de Cybersecurity News, SecurityOnline y TechCrunch, enlazada abajo.