O projeto Node.js publicou na quarta (21) versões de segurança para as linhas 26.x, 24.x e 22.x, com correção para 10 vulnerabilidades. As versões corrigidas são v26.12.1, v24.22.1 e v22.23.4, segundo o aviso oficial do projeto. A mais séria é a CVE-2026-111497, uma falha no decodificador Brotli que permite execução remota de código.

A falha do Brotli

O Brotli é um formato de compressão usado, entre outros lugares, em respostas de sites com Content-Encoding: br. O Node.js embute um decodificador Brotli, usado pelo módulo zlib e na leitura automática de respostas HTTP nesse formato. De acordo com a OX Security, um dado Brotli malformado faz o decodificador escrever além do fim de um buffer (a área de memória reservada para ele). Isso pode vazar memória ou executar código com os privilégios do processo.

O risco existe quando o programa descomprime Brotli vindo de fonte não confiável, como respostas HTTP buscadas na internet ou arquivos enviados por usuários. A OX Security observa que um firewall de aplicação web não barra o problema. O Node.js classifica a falha como de severidade alta e a atribui à dupla Khai Tran e Sylvie Mayer, do OpenAI Codex Security.

O que mais foi corrigido

O aviso lista quatro falhas de severidade alta, três médias e três baixas. Entre as altas estão duas que contornam a verificação de nome de host em certificados TLS, uma delas (CVE-2026-105483) só nas linhas 26.x e 24.x, e um erro em dns.resolve, que corta nomes com caractere nulo. As atualizações também trazem versões novas de c-ares, Undici e OpenSSL (nas linhas 24.x e 22.x), de SQLite (na 22.x) e o pacote de certificados confiáveis, atualizado após o comprometimento de uma autoridade certificadora intermediária da eMudhra.

Versões fora de suporte também são afetadas e não recebem correção. O projeto lembra que linhas encerradas ficam vulneráveis a cada novo aviso de segurança.

O que isso significa no Brasil

Quem desenvolve ou mantém um servidor, uma API ou uma função na nuvem com Node.js deve conferir a versão com node -v e subir para a 22.23.4, a 24.22.1 ou a 26.12.1. A ação é simples: instale a versão corrigida da sua linha, reinicie os processos e confirme de novo com node -v. Quem usa uma linha antiga, como a 20.x ou a 23.x, precisa migrar para uma linha com suporte, já que não há correção para elas. Baixe só pelo site oficial, e desconfie de scripts de "correção" ou de exploits copiados de repositórios e redes sociais. Se você está começando a programar e instalou o Node.js junto com o editor, o guia VS Code ou Cursor para quem está começando a programar ajuda a montar o ambiente do jeito certo.