O projeto Node.js lançou, na quarta-feira (21), atualizações urgentes para corrigir dez vulnerabilidades em linhas ativas, que correspondem aos pacotes de software que recebem suporte oficial e correções constantes dos desenvolvedores. O ponto mais crítico é uma falha no sistema de compactação Brotli, uma tecnologia usada para diminuir o tamanho de arquivos e acelerar a transferência de dados na internet.
Registrada sob o código CVE-2026-111497, a brecha permite, em teoria, a execução remota de código. Na prática, invasores podem tentar rodar comandos maliciosos nos computadores ou servidores afetados. As correções foram aplicadas nas versões 22.23.4, 24.22.1e 26.12.1.
O ecossistema na versão 20.x encerrou o período de suporte oficial e, conforme o cronograma do projeto, ficou de fora do pacote de correções, o que exige a migração rápida para uma das opções atualizadas. A descoberta partiu dos pesquisadores Khai Tran e Sylvie Mayer, integrantes do grupo OpenAI Codex Security, segundo os registros oficiais disponíveis no GitHub do Node.js.
O problema acontece em um código que já vem embutido no Node.js. Sempre que o sistema processa dados compactados por esse método, seja ao receber dados de um formulário ou ao buscar arquivos em outro servidor, a rotina vulnerável entra em ação. Assim, aplicativos que lidam com informações enviadas por visitantes externos ficam expostos caso utilizem versões desprotegidas.
Bloqueio de chaves e barreiras de segurança
Além da falha de compactação, o pacote de segurança soluciona problemas na verificação de certificados e falhas secundárias como a do undici. O projeto também inseriu um bloqueio interno para chaves de autoridades certificadoras intermediárias da empresa indiana eMudhra, com a atualização da lista raiz.
Esses intermediários funcionam como empresas validadoras que emitem certificados de segurança para sites, e as chaves privadas foram comprometidas neste mês e exigiram o corte imediato de confiança por parte dos softwares.
A plataforma Vercel agiu rapidamente para proteger os clientes. A equipe de segurança da empresa informou, por meio de comunicado oficial, que “adicionou regras de firewall que bloqueiam o ataque em solicitações recebidas”. Apesar das mudanças, os responsáveis ressaltam que essa barreira externa não substitui a atualização do software nos servidores deles.
Integrantes do grupo de lançamento do Node.js reforçam que a prioridade para as equipes de tecnologia é a atualização imediata dos ambientes de produção. Afinal, servidores dedicados e sistemas que ainda rodam versões antigas continuam vulneráveis até que os administradores apliquem os pacotes mais recentes divulgados pelos mantenedores oficiais.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.