Проектът Node.js планира обновявания за сигурност за своите продуктови линии 22.x, 24.x и 26.x на или малко след сряда, 11 ноември 2026 г. Обявлението дава време на разработчиците и системните администратори да се подготвят за корекции за сигурност, отстраняващи уязвимости с висока степен на риск (HIGH) във всичките три разклонения.
Всяка продуктова линия ще получи корекция за поне един проблем с висока сериозност. Предварителното известие обаче не посочва броя на уязвимостите, CVE идентификатори, засегнати компоненти или номера на коригираните версии. Освен това не се предоставят подробности за методите на атака или потвърдена експлоатация, което оставя точния технически риск неясен, докато не стане налична допълнителна информация.
Планираните обновявания следват по-ранни корекции за сигурност в Node.js, обхващащи TLS, DNS и Brotli. Тези октомврийски корекции за сигурност отстраниха отделни слабости при проверките на сертификати, разрешаването на имена и обработката на компресирани данни.
Node2Shell засилва безпокойството
Един значителен проблем през октомври беше Node2Shell, проследяван като CVE-2026-111497 – уязвимост с висока сериозност във вградения Brotli декодер на Node.js. Тя засегна същите три продуктови линии и можеше да позволи на атакуващ да повреди паметта на процеса, когато приложение декомпресира злонамерени Brotli данни чрез модула node:zlib.
Декодерът неправилно третираше невалидно превключване на блок като заявка за повече входни данни, вместо като постоянна грешка. След това той продължаваше да добавя байтове извън вътрешен осембайтов буфер. В зависимост от поведението на приложението, това можеше да доведе до срив, разкриване на паметта на процеса или да позволи отдалечено изпълнение на код.
Според официалния бюлетин от октомври, уязвимостта Node2Shell е била отстранена в това по-ранно издание за сигурност. Корекциите бяха включени във версии 22.23.4, 24.22.1 и 26.12.1. Поради това тя трябва да се разглежда като отделен контекст, а не като потвърдена уязвимост в планирания за ноември набор от корекции за сигурност.
Поддържани версии и по-стари издания
Node.js също така предупреждава, че версиите с изтекъл жизнен цикъл на поддръжка са засегнати при пускането на издания за сигурност. Следователно използването на по-старо разклонение не трябва да се счита за защита само защото липсва в списъка с корекции за сигурност. Проектът насочва потребителите към актуална, поддържана версия, вместо да продължават да използват неподдържани издания.
Официалният график на изданията определя Node.js 26.x като версия с активна дългосрочна поддръжка (Active Long-Term Support), докато 24.x и 22.x са в режим на поддръжка (Maintenance support). Разклоненията в режим на поддръжка все още получават обновявания за сигурност. По-ранното отразяване на пропуски в сигурността на Node.js, засягащи поддържаните разклонения, показва защо екипите трябва да следят обновяванията на средата за изпълнение паралелно с промените в приложенията.
Според официалния бюлетин за сигурност, 11 ноември е целева дата, а не гарантиран краен срок за публикуване. Екипите трябва да следят известието за наличността на изданието и техническите подробности. Докато тези детайли не бъдат публикувани, всякакви твърдения за отдалечено изпълнение на код, кражба на данни или конкретни заобиколни решения биха надхвърлили официално обявената информация.
За целите на планирането по внедряване, графикът на изданията на Node.js предоставя статуса на поддръжка и датите за край на жизнения цикъл за всяко разклонение. Непосредственият приоритет е да се установи кои продуктови линии използват приложенията и да се подготви тестването на предстоящите обновявания.
Организациите, използващи неподдържани версии, трябва да планират миграция към поддържано разклонение, вместо да очакват корекции за сигурност за спрени от поддръжка издания.