Node.js 22.23.4, 24.22.1 y 26.12.1 corrigen un fallo de ejecución remota

A quién afecta y qué versión instalar

Node.js permite ejecutar JavaScript fuera del navegador: es la base de servidores y herramientas, y algunos productos lo incluyen dentro de su propia instalación. Si mantienes uno de esos sistemas, actualiza el entorno que ejecuta la aplicación. Si solo utilizas un servicio por internet, corresponde a su proveedor aplicar el parche.

El proyecto publicó estas versiones de seguridad el 21 de octubre de 2026:

Cada rama se corrige sin cambiar de versión principal. Node.js 20 y las demás ramas sin soporte no reciben parche y quedan afectadas: hay que pasar a una mantenida.

El riesgo está en descomprimir una respuesta

El fallo CVE-2026-111497 está en el decodificador de Brotli, un formato de compresión. Si una aplicación descomprime datos preparados por un atacante mediante node:zlib, el decodificador escribe fuera de un búfer y corrompe la memoria: el proceso puede cerrarse, filtrar memoria o ejecutar código del atacante. Google, que asignó el identificador, le da una gravedad de 9,2 sobre 10.

Basta con que la aplicación consulte un servidor del atacante. Retool, una plataforma para crear herramientas internas, lo explica en su evaluación del 23 de octubre: muchos de sus clientes HTTP descomprimen solos las respuestas Brotli, así que un servidor malicioso puede colar la respuesta cuando una instancia de Retool lo consulta, por ejemplo desde un recurso REST configurado por un usuario.

Retool parcheó su nube el 21 de octubre, 13 horas después del aviso, y no tiene indicios de ataques contra ella: sus clientes de la nube no tienen que hacer nada. Para instalaciones propias, las versiones corregidas son 4.34.12 o posterior en la rama 4.34, y 4.0.25 o posterior en la 4.0. Hasta actualizar, Retool recomienda limitar quién puede crear o editar recursos, buscar direcciones de destino desconocidas, usar HTTPS en los recursos y revisar los cambios recientes en los registros de auditoría.

Qué más corrige el paquete

El aviso reúne diez vulnerabilidades: cuatro de gravedad alta, tres media y tres baja. Su alcance varía por rama; estos son los cuatro fallos altos:

También se corrigen la aceptación de respuestas HTTP antes de enviar la petición, comprobaciones del modelo de permisos y la repetición de valores aleatorios entre procesos creados desde ciertas instantáneas. El paquete incorpora además cambios de certificados relacionados con eMudhra, el incidente que motivó el refuerzo de seguridad de Firefox 158.0.1.

Cómo comprobar que has actualizado la aplicación

1. Ejecuta node --version en el entorno donde corre el servicio y anota su rama. Comprueba también contenedores y máquinas de despliegue si los utilizas.
2. Instala el parche correspondiente desde las descargas oficiales o mediante el gestor con el que mantienes Node.js. Elige el instalador para tu sistema y arquitectura. npm update actualiza dependencias del proyecto, no sustituye por sí solo el ejecutable de Node.js.
3. Reinicia o vuelve a desplegar los procesos y comprueba otra vez la versión en el servidor: actualizar Node.js en tu ordenador de desarrollo no cambia el de producción.
4. Si el programa lleva Node.js integrado, instala la actualización del fabricante, como ocurre con Retool. Cambiar el Node.js del sistema puede dejar intacta esa copia incluida.

Si la versión corregida da problemas con tu aplicación, volver a la anterior reabre el fallo: la salida es otra versión corregida, de tu rama o de otra mantenida.