Node.js lança atualizações urgentes para corrigir 10 vulnerabilidades críticas

O projeto Node.js lançou na quarta-feira (21) atualizações urgentes para corrigir dez vulnerabilidades em linhas de software ativas, que são os pacotes que recebem suporte oficial e correções constantes dos desenvolvedores. A falha mais crítica está no sistema de compactação Brotli, uma tecnologia utilizada para reduzir o tamanho de arquivos e acelerar a transferência de dados na internet.

Registrada como CVE-2026-111497, a brecha permite, teoricamente, a execução remota de código, o que significa que invasores podem tentar rodar comandos maliciosos em computadores ou servidores afetados. As correções foram aplicadas nas versões 22.23.4, 24.22.1 e 26.12.1. O ecossistema na versão 20.x encerrou o período de suporte oficial e, por isso, não recebeu o pacote de correções, exigindo a migração rápida para uma das opções atualizadas.

Falha crítica no sistema de compactação Brotli

O problema ocorre em um código já embutido no Node.js. Sempre que o sistema processa dados compactados por esse método, seja ao receber informações de um formulário ou ao buscar arquivos em outro servidor, a rotina vulnerável é ativada. Isso expõe aplicativos que lidam com informações enviadas por visitantes externos caso utilizem versões desprotegidas do software.

A descoberta foi feita pelos pesquisadores Khai Tran e Sylvie Mayer, do grupo OpenAI Codex Security, conforme registros oficiais no GitHub do Node.js.

Outras correções e medidas de segurança

Além da falha de compactação, o pacote de segurança também soluciona problemas na verificação de certificados e outras falhas secundárias. O projeto incluiu um bloqueio interno para chaves de autoridades certificadoras intermediárias da empresa indiana eMudhra, após a atualização da lista raiz.

Esses intermediários funcionam como empresas validadoras que emitem certificados de segurança para sites. As chaves privadas dessas empresas foram comprometidas neste mês, o que levou à necessidade de corte imediato de confiança por parte dos softwares.

Reação da Vercel e recomendação para usuários

A plataforma Vercel agiu rapidamente para proteger seus clientes. A equipe de segurança da empresa informou, em comunicado oficial, que "adicionou regras de firewall que bloqueiam o ataque em solicitações recebidas". No entanto, os responsáveis ressaltam que essa barreira externa não substitui a atualização do software nos servidores.

Integrantes do grupo de lançamento do Node.js reforçam que a prioridade para as equipes de tecnologia é a atualização imediata dos ambientes de produção. Servidores dedicados e sistemas que ainda rodam versões antigas continuam vulneráveis até que os administradores apliquem os pacotes mais recentes divulgados pelos mantenedores oficiais.