Node.js corrige vulnerabilidades en Brotli, DNS, TLS y permisos: actualizaciones de seguridad de octubre de 2026

El 21 de octubre de 2026, el proyecto Node.js publicó nuevas versiones para corregir problemas de seguridad que afectan diferentes componentes de su entorno de ejecución.

Los fallos identificados abarcan desde validación incorrecta de certificados y resolución DNS hasta corrupción de memoria durante la descompresión de datos.

Estas vulnerabilidades son relevantes para aplicaciones empresariales, APIs REST, plataformas SaaS, servidores JavaScript y servicios que utilizan Node.js para procesar solicitudes.

¿Qué versiones deben actualizarse?

Las actualizaciones correctivas oficiales fueron:

Las ramas sin soporte deben evaluarse para migrar a una versión mantenida. La disponibilidad de nuevas versiones no garantiza automáticamente compatibilidad con aplicaciones antiguas.

1. CVE-2026-111497: corrupción de memoria en Brotli

Uno de los problemas de mayor gravedad afecta al decodificador Brotli incorporado en Node.js.

Bajo determinadas condiciones, datos comprimidos especialmente construidos pueden provocar una escritura fuera de los límites de un búfer interno.

Esto puede ocasionar fallos del proceso, exposición de memoria o potencialmente ejecución remota de código.

La exposición es especialmente relevante para aplicaciones que descomprimen contenido Brotli procedente de fuentes no confiables mediante funcionalidades de node:zlib.

2. CVE-2026-105482: validación incorrecta de nombres DNS

Una segunda vulnerabilidad afecta a funciones de resolución DNS.

El problema permite que determinados nombres que contienen caracteres nulos sean interpretados de manera inconsistente durante el proceso de resolución.

Esta situación puede convertirse en un riesgo cuando una aplicación comprueba previamente que un dominio está autorizado y posteriormente utiliza el resultado de la resolución para establecer una conexión.

3. Vulnerabilidades en verificación de certificados TLS

Los avisos incluyen varios problemas relacionados con la validación de nombres de host y direcciones IPv4:

• CVE-2026-105483: tratamiento de direcciones con dígitos Unicode de ancho completo.
• CVE-2026-106069: interpretación inconsistente de determinadas direcciones IPv4.
• CVE-2026-106072: validación de certificados con representaciones IPv4 no canónicas.

La gravedad depende de las condiciones del cliente, del sistema operativo y del certificado presentado.

Estos hallazgos subrayan la importancia de mantener actualizados los componentes TLS, las bibliotecas de conexión y el entorno Node.js.

4. Otros problemas corregidos

El boletín también incluye:

• CVE-2026-105481: procesamiento incorrecto de respuestas en conexiones HTTP reutilizadas.
• CVE-2026-106074: reutilización de valores aleatorios en escenarios específicos con snapshots.
• CVE-2026-106070: validación incorrecta de determinadas estructuras ZIP.
• CVE-2026-106071: permisos de acceso a archivos demasiado amplios bajo ciertas reglas.
• CVE-2026-106073: omisión de comprobaciones de permisos al utilizar fs.realpathSync().

Las dos vulnerabilidades relacionadas con ZIP y una modalidad de permisos afectan específicamente a Node.js 26.x, mientras que otras se presentan en varias ramas.

¿Cómo comprobar Node.js en nuestro servidor?

Podemos verificar la versión instalada mediante:

node -v

También es recomendable comprobar las dependencias del proyecto:

npm audit

Este segundo comando evalúa las dependencias npm frente a los avisos disponibles; no reemplaza la revisión de seguridad del ejecutable Node.js.

Antes de realizar cambios debemos guardar una copia de seguridad, verificar el archivo de bloqueo de dependencias y probar el funcionamiento de la aplicación.

Cómo aplicar las actualizaciones

Recomendamos:

1. Identificar la versión de Node.js utilizada por cada aplicación.
2. Actualizar a una versión correctiva compatible.
3. Reconstruir y probar los proyectos en un entorno de pruebas.
4. Comprobar autenticación, APIs, conexiones TLS y procesamiento de archivos.
5. Actualizar las dependencias vulnerables.
6. Reiniciar o redesplegar los procesos que continúan utilizando el ejecutable anterior.
7. Supervisar errores, consumo de recursos y comportamiento de producción.

En entornos con contenedores, es necesario reconstruir las imágenes y desplegar los servicios nuevamente cuando corresponda.

¿Qué ocurre si utilizamos Nuxt, Next.js o Express?

Estos frameworks y herramientas pueden ejecutar aplicaciones sobre Node.js, por lo que deben considerarse tanto las actualizaciones del runtime como los avisos propios de cada dependencia.

Actualizar Node.js no corrige automáticamente una vulnerabilidad del framework, ni actualizar el framework reemplaza los parches del runtime.

Conclusión

Las actualizaciones de octubre de 2026 muestran que los componentes internos de Node.js también pueden presentar fallos importantes de seguridad.

La gestión adecuada de versiones, la validación de entradas y el mantenimiento de dependencias son fundamentales para construir aplicaciones más resistentes.

En Naranja y Media® desarrollamos soluciones web, APIs y plataformas empresariales con un enfoque de mantenimiento y actualización tecnológica.

Más información: https://naranjaymediahn.com

Fuentes oficiales

• Boletín Node.js: https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
• Versiones oficiales: https://github.com/nodejs/node/releases
• Política de seguridad: https://nodejs.org/en/security/