Node.js lanza actualizaciones urgentes para corregir fallos graves de seguridad

El 21 de octubre de 2026, el equipo de desarrollo de Node.js lanzó versiones de seguridad para sus ramas 26.x, 24.x y 22.x. Estas actualizaciones buscan solucionar diez vulnerabilidades, de las cuales varias son de severidad alta y una se considera crítica debido a su potencial impacto en la ejecución remota de código (RCE), que es cuando un atacante puede ejecutar comandos en su servidor de forma externa.

El fallo más peligroso (CVE-2026-111497) se encuentra en el decodificador Brotli, un algoritmo usado para comprimir datos en la web. Un error de escritura fuera de los límites de la memoria puede permitir que un atacante tome el control del proceso si la aplicación procesa contenido comprimido malicioso. También se corrigieron fallos en la validación de certificados TLS (CVE-2026-105483 y CVE-2026-106069) que podrían permitir ataques de interceptación de comunicaciones al engañar la verificación de identidad de los servidores.

Otras correcciones importantes incluyen un problema en la resolución de nombres de dominio (DNS) que trunca nombres con caracteres nulos (CVE-2026-105482) y un fallo en la generación de números aleatorios y UUIDs (CVE-2026-106074) que afecta a procesos creados mediante capturas de estado (snapshots). Además, se actualizaron dependencias clave como OpenSSL, Undici y SQLite, y se bloquearon certificados comprometidos de la autoridad eMudhra para mantener la integridad de las conexiones seguras.

Qué significa para una pyme colombiana y cucuteña: Si su empresa utiliza aplicaciones o servicios web desarrollados en Node.js, debe actualizar el entorno de ejecución de inmediato. Priorice los servidores que están expuestos directamente a internet o que procesan archivos comprimidos. Si utiliza versiones antiguas como la 20.x, tenga en cuenta que ya no reciben soporte y la única solución segura es migrar a una versión soportada (22, 24 o 26) para evitar ser blanco de ataques.