Node.js 26.13.1 (LTS) é release de segurança e corrige 18 vulnerabilidades em http2, TLS e outros módulos

O Node.js 26.13.1 'Lithium' (LTS), publicado em 11 de novembro de 2026, é um release de segurança com 18 correções: 9 de severidade alta, 6 média e 3 baixa. As altas se concentram em http2 e tls. No http2, os ajustes tratam do ciclo de vida de streams e buffers: liberar headers quando um stream é removido, detectar streams abandonados pelo nghttp2, reter buffers até os writes no socket terminarem e reter streams durante writes pendentes. Também entra a prevenção de execução aninhada do parser a partir de writes vazios, em tls e http.

No TLS, o release desabilita a retomada de sessão em mTLS sem contexto de session id, impede que renegociação, HRR ou retomada de sessão alterem o SNI e corrige um crash de servidor TLS alcançável remotamente. Entre as médias estão o overflow de buffers ALTSVC no http2, a contabilização em maxSessionMemory dos dados DATA retidos por streams, a ocultação de credenciais de proxy em erros de URL inválida e o isolamento das chaves de política TLS do Agent em https. As baixas envolvem o modelo de permissões (fs.watch recursivo e destino de heap snapshot) e o callback de params do zlib após destroy. Matteo Collina assina a maior parte, Tim Perry as de TLS e RafaelGSS as de permissões.

O release atualiza brotli para 1.2.1, llhttp para 9.4.4, sqlite para 3.54.1 e undici para 8.12.4. Há ainda ajustes de build e crypto para respeitar o nível de API configurado do OpenSSL e corrigir builds com versões mais antigas do OpenSSL 3.0.

Em 28 de outubro de 2026, o CEVIU noticiou em "Node.js 26.13.0 leva a série 26.x ao LTS com o codinome 'Lithium'" a entrada da linha 26.x em LTS, com suporte previsto até o fim de abril de 2029. A 26.13.1 é o primeiro release de segurança que o material mostra sobre essa versão já em LTS, com foco em http2 e tls.

Em 22 de outubro de 2026, o CEVIU havia publicado "Node.js lança correções de segurança para as linhas 26.x, 24.x e 22.x, incluindo falha alta de RCE no decoder Brotli". Agora o brotli sobe para 1.2.1 neste release. Em 3 de novembro de 2026, o CEVIU também noticiou que o Express recomendava atualizar o Node.js por causa da falha upstream no decoder de Brotli.

Para quem opera servidores com http2 ou termina TLS direto no Node.js, esta atualização pede prioridade, sobretudo se há mTLS, SNI ou retomada de sessão em uso. Para quem está na 26.13.0, a troca para a 26.13.1 é a atualização de patch a planejar. Em equipes que usam fs.watch recursivo com o modelo de permissões, vale checar as correções de severidade baixa.