NoticiasNews

Node.js corrige una falla en Brotli (CVSS 9.2) que puede dar ejecución remota de código; también afecta a otros programasNode.js fixes a Brotli flaw (CVSS 9.2) that can allow remote code execution; other software is affected too

2026-10-24

El 21 de octubre de 2026, el proyecto Node.js publicó una actualización de seguridad que corrige 10 vulnerabilidades, cuatro de ellas de gravedad alta. La más seria es CVE-2026-111497, una escritura fuera de límites en el decodificador Brotli (versiones 1.0.3 a 1.2.0) con puntuación CVSS 9.2, que un atacante podría aprovechar con datos comprimidos especialmente preparados para ejecutar código en un servidor. Según The Hacker News (24 de octubre), el fallo también afecta a Bun, Python y otros programas de uso extendido que incorporan Brotli.

Qué se corrigió

  • Versiones corregidas de Node.js: 22.23.4, 24.22.1 y 26.12.1.
  • Dos fallas (CVE-2026-105483 y CVE-2026-106069) permitían evadir la verificación de nombre de host en certificados TLS con formatos inusuales de dirección IP.
  • Otra (CVE-2026-105482) truncaba nombres en dns.resolve cuando contenían un carácter NUL.
  • La actualización retira la confianza en la autoridad intermedia de eMudhra, que fue comprometida y bloqueada por Mozilla, Google y Apple entre el 17 y el 19 de octubre.

El equipo de Node.js indica que no hay explotación real ni una prueba de concepto pública confirmada. Aun así, investigadores de Imperva demostraron una ejecución de código en una compilación oficial de Node.js 24.22.0, mientras que la 24.22.1 rechazó los datos maliciosos.

Qué hacer

  1. Identificar dónde se usa Node.js, Bun o bibliotecas Brotli en portales de clientes, APIs, integraciones y herramientas internas.
  2. Actualizar a la versión corregida de su línea y reconstruir las aplicaciones empaquetadas como ejecutables o snapshots.
  3. Actualizar las dependencias incluidas, como c-ares, OpenSSL, SQLite y Undici.
  4. Registrar el cambio y comunicar a soporte qué servicios pudieron verse afectados por la ventana de mantenimiento.

Fuentes: SecurityOnline, versión de seguridad de Node.js de octubre de 2026 y The Hacker News, 24 de octubre de 2026.

Parchear sin dejar a los clientes a oscuras

Cada actualización de este tipo toca portales, APIs y canales por donde los clientes piden ayuda. Servigo365 permite a TI y soporte llevar cada parche como un ticket con responsable, SLA e historial, y avisar con claridad a los clientes sobre mantenimientos. Cuando el servicio es presencial, Nexturno mantiene ordenados los turnos y las colas en sucursales mientras los sistemas se actualizan. Tener los procesos y los datos de cada incidente organizados es la base para actuar rápido y sin improvisar.

On October 21, 2026, the Node.js project released a security update fixing 10 vulnerabilities, four of them high severity. The most serious is CVE-2026-111497, an out-of-bounds write in the Brotli decoder (versions 1.0.3 through 1.2.0) with a CVSS score of 9.2, which an attacker could exploit with specially crafted compressed data to run code on a server. According to The Hacker News (October 24), the flaw also affects Bun, Python and other widely used software that embeds Brotli.

What was fixed

  • Fixed Node.js versions: 22.23.4, 24.22.1 and 26.12.1.
  • Two flaws (CVE-2026-105483 and CVE-2026-106069) allowed bypassing hostname checks for TLS certificates using unusual IP address formats.
  • Another (CVE-2026-105482) truncated names in dns.resolve when they contained a NUL character.
  • The update removes trust in the eMudhra intermediate CA, which was compromised and blocked by Mozilla, Google and Apple between October 17 and 19.

The Node.js team says there is no exploitation in the wild and no confirmed public proof of concept. Even so, Imperva researchers demonstrated code execution on an official Node.js 24.22.0 build, while 24.22.1 rejected the malicious data.

What to do

  1. Identify where Node.js, Bun or Brotli libraries are used in customer portals, APIs, integrations and internal tools.
  2. Update to the fixed version for your release line and rebuild applications packaged as executables or snapshots.
  3. Update bundled dependencies such as c-ares, OpenSSL, SQLite and Undici.
  4. Record the change and tell support which services may be affected by the maintenance window.

Sources: SecurityOnline, Node.js October 2026 security release and The Hacker News, October 24, 2026.

Patching without leaving customers in the dark

Every update like this touches portals, APIs and the channels customers use to ask for help. Servigo365 lets IT and support track each patch as a ticket with an owner, SLA and history, and clearly notify customers about maintenance. When service is in person, Nexturno keeps turns and queues at branches orderly while systems are updated. Having processes and incident data organized is the foundation for acting fast without improvising.

← Volver al blog← Back to blog