Node.js: diez vulnerabilidades corregidas, cuatro de alto riesgo

El 21 de octubre de 2026 el CERT.LV, el CSIRT nacional de Letonia, avisó de las versiones de seguridad de Node.js de octubre: 10 vulnerabilidades del runtime JavaScript corregidas en las ramas 22.x, 24.x y 26.x, cuatro de ellas de gravedad alta. También informaron heise Security y The Hacker News. Las versiones que debes instalar son 22.23.4, 24.22.1 y 26.12.1 o posteriores.

Entre las fuentes disponibles, solo el aviso del CERT.LV da los detalles: de heise Security y The Hacker News recogemos lo que indican sus titulares. Ninguna de las fuentes disponibles asocia cada CVE al componente afectado.

Qué ha pasado

Según el CERT.LV, los responsables de Node.js han publicado actualizaciones que corrigen varias vulnerabilidades del runtime. Según la vulnerabilidad y la configuración de la aplicación, un atacante podría:

• eludir controles de seguridad y restricciones de acceso;
• provocar un tratamiento incorrecto de los datos;
• ejecutar código arbitrario en remoto.

The Hacker News pone el foco en un fallo del decodificador Brotli que, según el medio, podría permitir la ejecución remota de código en todas las versiones soportadas: entre las fuentes disponibles, el detalle sobre Brotli solo lo da The Hacker News. heise Security habla de fallos de alto riesgo y distingue entre los del código de Node.js y los «heredados».

Detalles técnicos

Las diez CVE que enumera el CERT.LV, por gravedad:

Gravedad	CVE
Alta (4)	CVE-2026-105482, CVE-2026-105483, CVE-2026-106069, CVE-2026-111497
Media (3)	CVE-2026-105481, CVE-2026-106072, CVE-2026-106074
Baja (3)	CVE-2026-106070, CVE-2026-106071, CVE-2026-106073

Versiones corregidas, según el CERT.LV:

• Node.js 22.23.4 y posteriores (rama 22.x);
• Node.js 24.22.1 y posteriores (rama 24.x);
• Node.js 26.12.1 y posteriores (rama 26.x).

Las fuentes no indican las puntuaciones CVSS ni cuál de las cuatro CVE de gravedad alta afecta al decodificador Brotli. En Node.js la descompresión Brotli la ofrece el módulo zlib (por ejemplo zlib.brotliDecompress() y zlib.createBrotliDecompress()) y la usan aplicaciones y bibliotecas que manejan contenidos con codificación br. Las condiciones exactas de explotación hay que comprobarlas en el boletín oficial de Node.js sobre las versiones de seguridad de octubre de 2026, al que remite el CERT.LV.

El CERT.LV recuerda además que las versiones fuera de soporte (End-of-Life) pueden estar expuestas, porque ya no reciben actualizaciones de seguridad periódicas. El aviso solo enumera las ramas 22.x, 24.x y 26.x.

MITRE ATT&CK (clasificación nuestra, las fuentes no la indican): T1190 (Exploit Public-Facing Application) para la ejecución de código en servicios expuestos basados en Node.js.

Certificados de eMudhra: un punto que comprobar

Según algunas informaciones, la versión bloquea también los certificados de las CA intermedias de eMudhra, pero los textos de las fuentes disponibles no lo describen. Node.js incluye su propia lista de autoridades de certificación raíz, distinta de la del sistema operativo: si tus aplicaciones Node.js abren conexiones TLS hacia el exterior, comprueba en las notas de la versión si la lista incluida se ha actualizado.

Impacto para las empresas europeas e italianas

Node.js está en la base de muchos backends web, API, microservicios, funciones serverless, herramientas de compilación y pipelines CI/CD, y viene incluido en numerosas aplicaciones. A menudo conviven varias copias del runtime: paquetes de la distribución, imágenes de contenedores, gestores de versiones en los equipos de los desarrolladores, aplicaciones que llevan su propio Node.js. Cada una se actualiza por separado, y el inventario suele ser el paso más largo.

Para las entidades sujetas a NIS2, la gestión de vulnerabilidades forma parte de las medidas que exige el artículo 21 de la directiva: una versión con cuatro fallos de gravedad alta y una posible ejecución remota de código debe registrarse, con prioridades y plazos de corrección documentados, empezando por los servicios expuestos a Internet.

Qué hacer ya

1. Haz el inventario de las instalaciones de Node.js: node --version en servidores y equipos de desarrollo, imágenes base de contenedores (por ejemplo node:22, node:24, node:26), pipelines CI, funciones serverless, aplicaciones que incluyen el runtime.
2. Actualiza a 22.23.4, 24.22.1 o 26.12.1 (o posteriores), según la rama que uses.
3. Reconstruye y vuelve a desplegar las imágenes de contenedores: un runtime incorporado no se actualiza solo. Comprueba también que las etiquetas que usas apunten de verdad a las versiones corregidas.
4. Da prioridad a los servicios expuestos que reciben datos del exterior, en especial a los que descomprimen contenidos Brotli.
5. Planifica la migración de las instalaciones en ramas fuera de soporte, que ya no reciben actualizaciones periódicas.
6. Consulta el boletín oficial de Node.js para la correspondencia entre CVE y componentes y para posibles mitigaciones temporales, antes de decidir excepciones o aplazamientos.

Cómo ayuda ARXDOME

ARX Shield muestra en el portal las vulnerabilidades abiertas por máquina y por paquete, con las ya explotadas destacadas: te ayuda a encontrar las máquinas monitorizadas con versiones de Node.js que actualizar. ARX Expose señala desde el exterior las vulnerabilidades conocidas en los servicios públicos y los productos reconocidos.

Última actualización: 22 de octubre de 2026