26.10.22 - Node.js corrige 10 vulnerabilidades: la actualización de octubre y qué hacer
El mismo día que PHP, Node.js publicó parches para 10 vulnerabilidades, cuatro de gravedad alta. Qué afecta y qué hacer.
El 21 de octubre de 2026, el mismo día que el «php2shell» de PHP, Node.js publicó actualizaciones de seguridad para sus versiones 26.x, 24.x y 22.x, con 10 vulnerabilidades corregidas, cuatro de gravedad alta.
Los fallos principales
- Fallo en el descompresor Brotli (CVE-2026-111497): una escritura fuera de memoria al descomprimir datos que podría permitir ejecutar código a distancia. Es la corrección más importante.
- Comprobación de nombre en TLS (CVE-2026-105483 y CVE-2026-106069): podría aceptarse un certificado de otro dominio.
- DNS (CVE-2026-105482): nombres con caracteres especiales podían cortarse y resolver un nombre distinto.
- También se actualizan dependencias como OpenSSL, c-ares, SQLite y Undici.
Qué hacer ya
- Actualizar Node.js a una versión corregida: 26.12.1, 24.22.1 o 22.23.4.
- Las versiones sin soporte, como Node.js 25, no reciben arreglo: hay que pasar a una versión con soporte, como la LTS 24.x.
- Las webs y APIs hechas con Node.js (Next.js, Nuxt, Express…) y sus imágenes Docker también están afectadas. Revisa tanto el entorno de compilación como el de producción.
Sobre la web de MetAI
La web de MetAI (met-ai.tech) no ejecuta Node.js en ningún servidor público, así que no está afectada. Se sirve como archivos estáticos desde Cloudflare y sus pocas funciones dinámicas corren en el entorno propio de Cloudflare, no en Node.js. Nuestra herramienta interna para crear la web no está expuesta a Internet y, aun así, ya la hemos actualizado a la versión corregida de Node.js.
Cómo puede ayudarte MetAI
¿No sabes si tu web está afectada o por dónde empezar? En MetAI te ayudamos con:
- Diagnóstico urgente: comprobamos qué versiones de PHP o Node.js usan tus webs y apps, y si están afectadas.
- Corrección y actualización: actualizamos con seguridad PHP, Node.js, WordPress, plugins y librerías, y migramos los entornos sin soporte.
- Protección de cara al futuro: filtros de ataques, migración a webs estáticas sin servidor y vigilancia de accesos sospechosos, para que vulnerabilidades parecidas en el futuro tengan mucho menos impacto.
Podemos ofrecerte el mismo sistema que usamos en nuestra propia web. Escríbenos para una consulta gratuita de 30 minutos.