Node.js lança correções de segurança para as linhas 26.x, 24.x e 22.x, incluindo falha alta de RCE no decoder Brotli

O pacote de outubro do Node.js mexe nas três linhas ativas (26.x, 24.x e 22.x) e mistura dois tipos de correção. De um lado, upgrades de dependência: c-ares, ca-cert (por causa do comprometimento da CA intermediária da eMudhra), Undici em todas as linhas e OpenSSL só em 24.x e 22.x. De outro, falhas no próprio runtime. A mais pesada é a CVE-2026-111497, uma escrita fora dos limites no decoder de Brotli que permite execução remota de código. Afeta as três linhas, foi reportada por mcollina e corrigida por aduh95.

Há um padrão claro nas outras falhas altas: validação de hostname em TLS. A CVE-2026-105483 explora IPs escritos com dígitos fullwidth (afeta 26.x e 24.x). A CVE-2026-106069 envolve hosts que resolvem de forma frouxa para um endereço IP. A CVE-2026-106072, de severidade média, deixa SANs de DNS autenticarem endpoints IP em hostnames IPv4 não canônicos. Na prática, o parsing de nomes e IPs vira vetor para driblar a checagem de certificado. Já a CVE-2026-105482 faz o dns.resolve truncar nomes com caractere NUL. Entre as médias, a CVE-2026-106074 chama atenção: os caches de entropia de crypto.randomUUID() e randomInt() entram em snapshots de startup e SEAs, então cada processo repete os mesmos valores. Também saíram dois ajustes no Permission Model (CVE-2026-106071 e CVE-2026-106073, esta última um bypass com fs.realpathSync). Versões End-of-Life sempre ficam afetadas, e as releases saem em 21 de outubro de 2026 ou logo depois.

Decoders de formatos de compressão processam entrada não confiável, e Brotli aparece em respostas HTTP. Quem roda Node.js em produção nas linhas 22.x, 24.x ou 26.x precisa priorizar a atualização. Quem está em versão EOL não tem correção e deve migrar.