Node.js: dieci vulnerabilità corrette, quattro ad alto rischio

Il 21 ottobre 2026 il CERT.LV, il CSIRT nazionale della Lettonia, ha segnalato i rilasci di sicurezza di Node.js di ottobre: 10 vulnerabilità del runtime JavaScript corrette nelle linee 22.x, 24.x e 26.x, quattro delle quali ad alta gravità. Ne hanno scritto anche heise Security e The Hacker News. Le versioni da installare sono 22.23.4, 24.22.1 e 26.12.1 o successive.

Tra le fonti disponibili, solo l’avviso del CERT.LV riporta i dettagli: di heise Security e di The Hacker News riferiamo quello che indicano i titoli. Nessuna delle fonti disponibili associa le singole CVE ai componenti colpiti.

Cosa è successo

Secondo il CERT.LV, i manutentori di Node.js hanno pubblicato aggiornamenti che correggono diverse vulnerabilità del runtime. A seconda della vulnerabilità e della configurazione dell’applicazione, un attaccante potrebbe:

• aggirare controlli di sicurezza e restrizioni di accesso;
• causare un’elaborazione errata dei dati;
• eseguire codice arbitrario da remoto.

The Hacker News mette al centro un difetto nel decodificatore Brotli che, secondo la testata, potrebbe consentire l’esecuzione di codice da remoto in tutte le versioni supportate: tra le fonti disponibili, il dettaglio sul Brotli è riportato solo da The Hacker News. heise Security parla di falle ad alto rischio e distingue tra quelle nel codice di Node.js e quelle «ereditate».

Dettagli tecnici

Le dieci CVE elencate dal CERT.LV, per gravità:

Gravità	CVE
Alta (4)	CVE-2026-105482, CVE-2026-105483, CVE-2026-106069, CVE-2026-111497
Media (3)	CVE-2026-105481, CVE-2026-106072, CVE-2026-106074
Bassa (3)	CVE-2026-106070, CVE-2026-106071, CVE-2026-106073

Versioni corrette, secondo il CERT.LV:

• Node.js 22.23.4 e successive (linea 22.x);
• Node.js 24.22.1 e successive (linea 24.x);
• Node.js 26.12.1 e successive (linea 26.x).

Le fonti non indicano i punteggi CVSS, né quale delle quattro CVE ad alta gravità riguardi il decodificatore Brotli. In Node.js la decompressione Brotli è offerta dal modulo zlib (per esempio zlib.brotliDecompress() e zlib.createBrotliDecompress()) ed è usata da applicazioni e librerie che gestiscono contenuti con codifica br. Le condizioni precise di sfruttamento vanno verificate nel bollettino ufficiale di Node.js sui rilasci di sicurezza di ottobre 2026, a cui rimanda il CERT.LV.

Il CERT.LV ricorda anche che le versioni a fine supporto (End-of-Life) possono essere esposte, perché non ricevono più aggiornamenti di sicurezza regolari. L’avviso elenca solo le linee 22.x, 24.x e 26.x.

MITRE ATT&CK (classificazione nostra, le fonti non la indicano): T1190 (Exploit Public-Facing Application) per l’esecuzione di codice in servizi esposti basati su Node.js.

Certificati eMudhra: un punto da verificare

Secondo alcune segnalazioni il rilascio blocca anche i certificati delle CA intermedie di eMudhra, ma nei testi delle fonti disponibili questo punto non è descritto. Node.js include un proprio elenco di autorità di certificazione radice, separato da quello del sistema operativo: se le tue applicazioni Node.js aprono connessioni TLS verso l’esterno, controlla nelle note di rilascio se l’elenco incluso è stato aggiornato.

Impatto per le aziende europee e italiane

Node.js è alla base di molti backend web, API, microservizi, funzioni serverless, strumenti di build e pipeline CI/CD, ed è incluso in numerose applicazioni. Spesso convivono più copie del runtime: pacchetti della distribuzione, immagini container, gestori di versione sulle macchine degli sviluppatori, applicazioni che portano con sé il proprio Node.js. Ognuna va aggiornata a parte, e l’inventario è di solito il passo più lungo.

Per i soggetti NIS2, la gestione delle vulnerabilità rientra tra le misure richieste dall’articolo 21 della direttiva: un rilascio con quattro falle ad alta gravità e una possibile esecuzione di codice da remoto va tracciato, con priorità e tempi di correzione documentati, a partire dai servizi esposti a Internet.

Cosa fare subito

1. Fai l’inventario delle installazioni di Node.js: node --version su server e postazioni di sviluppo, immagini base dei container (per esempio node:22, node:24, node:26), pipeline CI, funzioni serverless, applicazioni che includono il runtime.
2. Aggiorna a 22.23.4, 24.22.1 o 26.12.1 (o successive), secondo la linea in uso.
3. Ricostruisci e ridistribuisci le immagini container: un runtime incorporato non si aggiorna da solo. Controlla anche che i tag usati puntino davvero alle versioni corrette.
4. Dai la priorità ai servizi esposti che ricevono dati dall’esterno, in particolare a quelli che decomprimono contenuti Brotli.
5. Pianifica la migrazione delle installazioni su linee a fine supporto, che non ricevono più aggiornamenti regolari.
6. Consulta il bollettino ufficiale di Node.js per la corrispondenza tra CVE e componenti e per eventuali mitigazioni temporanee, prima di decidere eccezioni o rinvii.

Come aiuta ARXDOME

ARX Shield mostra nel portale le vulnerabilità aperte per macchina e per pacchetto, con quelle già sfruttate in evidenza: aiuta a trovare le macchine monitorate con versioni di Node.js da aggiornare. ARX Expose segnala dall’esterno le vulnerabilità note sui servizi pubblici e i prodotti riconosciuti.

Ultimo aggiornamento: 22 ottobre 2026