Node.js выпустила исправления безопасности: что проверить владельцам серверных приложений

Проект Node.js опубликовал октябрьские обновления безопасности для поддерживаемых веток 22.x, 24.x и 26.x. Среди исправлений — ошибка декодера Brotli, которая, по описанию разработчиков, может привести к удалённому выполнению кода. Уязвимость CVE-2026-111497 имеет уровень High; это не объявление о взломе всех приложений на Node.js.

Описание уязвимости Brotli в Node.js — Фрагмент официального уведомления Node.js от 21 октября 2026 года.

Какие версии содержат исправления

В уведомлении перечислены Node.js 22.23.4, 24.22.1 и 26.12.1. Администратору важно проверить фактически запущенную среду, включая контейнеры и сборочные образы. Обновление Node.js на рабочем компьютере не меняет автоматически версию внутри уже развёрнутого приложения.

Исправленные выпуски Node.js — Список релизов в официальном advisory. Скриншот: Node.js.

Исправлений несколько

Выпуск также затрагивает проверки TLS-имён, обработку DNS и другие механизмы среды выполнения. Поэтому оценивать необходимость обновления только по тому, использует ли приложение Brotli, недостаточно. Точный риск зависит от маршрута обработки входных данных и конфигурации приложения.

Практический порядок действий

Сверьте версию с поддерживаемой веткой, протестируйте исправленный выпуск и пересоберите образы. После развёртывания проверьте реальные процессы, а не только файл зависимостей. Для облачной платформы уточните, обновляет ли runtime провайдер или это задача вашей команды. Не смешивайте возможный эффект уязвимости с неподтверждёнными заявлениями о массовой эксплуатации.

По уведомлению команды Node.js. Материал предназначен для планирования обновления, без воспроизведения эксплуатации.

Обложка создана с помощью ИИ и служит иллюстрацией темы. Реальные материалы внутри статьи взяты из указанных официальных источников.

Источник