¿Está mi versión de Node.js afectada?

Si usas 22.x anterior a 22.23.4, 24.x anterior a 24.22.1 o 26.x anterior a 26.12.1, sí. Ejecuta node -v y compara con tu rama. Las versiones End-of-Life (18 y 20) están siempre afectadas y no reciben parche.

¿Tengo que reconstruir mis imágenes de Docker?

Sí. Actualizar Node en tu equipo no cambia el que vive dentro del contenedor. Reconstruye la imagen con la versión corregida y vuelve a desplegar; sin reconstruir, producción sigue en la versión vieja.

¿Y si solo uso Node para compilar (Vite, Astro, Next)?

El riesgo runtime está en el proceso Node que sirve tráfico en producción. Si tu salida es estática y la sirve un servidor web, no hay Node expuesto, y los builds de CI son efímeros. Aun así, actualizar cuesta poco y evita propagar librerías viejas.

¿Se están explotando ya estos fallos?

El aviso de Node.js no menciona explotación activa y no publica puntuaciones CVSS; las etiquetas de severidad son las del propio proyecto (high, medium, low). A diferencia del caso de PHP de hoy, aquí no hubo filtración previa: parche y detalles han salido a la vez.

Node.js parchea 10 CVEs: RCE en Brotli y dos saltos de TLS

Mismo miércoles, otro parche. A las horas de que PHP corrija sus dos vulnerabilidades críticas, Node.js ha publicado actualizaciones de seguridad para sus tres ramas activas: v22.23.4, v24.22.1 y v26.12.1. En total, 10 CVEs corregidas, 4 de ellas de gravedad alta. La más seria: una escritura fuera de límites en el decodificador Brotli que, según el propio Node.js, permite ejecución remota de código.

Las cuatro de gravedad alta

RCE en el decodificador Brotli (CVE-2026-111497). Una escritura fuera de límites (out-of-bounds write) en el decodificador de Brotli, etiquetada como high en las tres ramas. En la práctica, el vector natural es cualquier proceso Node que decodifique Brotli de origen no confiable — cuerpos de petición comprimidos, respuestas de terceros que atraviesan un proxy. El aviso no detalla los requisitos concretos de explotación.

Dos saltos de la verificación de hostname en TLS. Dos fallos distintos con el mismo resultado — tu aplicación da por bueno un certificado que no es del servidor con el que habla:

CVE-2026-105483: la comprobación se salta cuando la IP se escribe con dígitos fullwidth de Unicode; la lógica de comparación no los normaliza y pasa un certificado de otro host. Afecta a 24.x y 26.x.
CVE-2026-106069: la comprobación se salta cuando el hostname “resuelve holgadamente” a una dirección IP, por otra vía de código. Afecta a las tres ramas.

El candado sigue ahí, pero deja de garantizar a quién hablas. Es la clase de fallo que no rompe nada a plena luz y solo importa cuando alguien está en medio.

dns.resolve trunca nombres en un byte NUL (CVE-2026-105482). Un nombre con un NUL embebido se resolvía silenciosamente a un nombre distinto del pedido. Pedir una cosa y resolver otra no es un matiz: es el principio de un redireccionamiento de DNS.

El resto del parche

Bajando de severidad, el release también corrige: una validación impropia de certificados para hostnames IPv4 no canónicos (CVE-2026-106072, medium), el guard de datos del agente HTTP (CVE-2026-105481, medium), las cachés aleatorias entre snapshots (CVE-2026-106074, medium), el modelo de permisos en realpathSync (CVE-2026-106073, low) y, solo en 26.x, dos fallos de permisos y cabeceras ZIP (CVE-2026-106071 y CVE-2026-106070, low).

Además de CVEs, las tres ramas actualizan dependencias: c-ares, OpenSSL (a 3.5.9 en 22.x y 24.x), SQLite, Undici y los certificados raíz — incluyendo la retirada del CA intermedio de eMudhra comprometido, que Node lista explícitamente entre los motivos del release.

Qué hacer ahora

Ejecuta node -v en producción. La tabla de decisión es corta: 22.x → 22.23.4 o superior; 24.x → 24.22.1 o superior; 26.x → 26.12.1 o superior.
Si despliegas con Docker, reconstruye la imagen. Actualizar tu equipo no cambia lo que corre en producción; sin rebuild, el contenedor sigue en la versión vieja.
Node 18 o 20: no hay parche para ti. Ambas ramas están End-of-Life y el aviso lo dice sin rodeos: las versiones EOL “siempre están afectadas”. Toca migrar a 22 o superior.
Hosting gestionado (Render, Railway, Fly, Vercel…): el runtime lo rota tu proveedor — comprueba qué versión sirven y cuándo piensan rotar.

Lo que no dice el aviso

Node.js no publica puntuaciones CVSS en su anuncio ni menciona explotación activa; las etiquetas son las del proyecto (high/medium/low) y la calificación más alta de este release es high, no critical. A diferencia de php2shell, aquí no hubo filtración previa: parche y detalles han salido a la vez.

El contexto

PHP por la mañana con dos críticas, Node.js por la tarde con diez CVEs. Miércoles de parches para el stack web — si administras servidores de cualquiera de los dos, hoy es día de php -v y node -v antes de la cena. El seguimiento del caso PHP — mitigaciones oficiales y el repo del NCSC con detección e inventario SPDX de software con PHP embebido — en php2shell: el repo del NCSC para frenarlas.

Fuentes originales: Node.js — October 2026 Security Releases, Node.js v22.23.4 (LTS), Node.js v24.22.1 (LTS), Node.js v26.12.1 (Current).