'/%3E%3C/g%3E%3Cuse%20href='%23c'%20transform='matrix(-1%200%200%201%20720%200)'/%3E%3C/svg%3E){kind=small}
'/%3E%3C/svg%3E){kind=small}
🔎 O que aconteceu?
A equipa de segurança do Node.js publicou, a 21 de outubro de 2026, novas versões de segurança para os branches Node.js 22.x, 24.x e 26.x, destinadas a corrigir várias vulnerabilidades de segurança.
A atualização inclui vulnerabilidades com diferentes níveis de severidade, sendo a mais relevante a CVE-2026-111497, classificada com severidade High, que poderá permitir execução remota de código (Remote Code Execution – RCE) através do descodificador Brotli integrado no Node.js.
Foram disponibilizadas as seguintes versões corrigidas:
- Node.js 22.23.4
- Node.js 24.22.1
- Node.js 26.12.1
Foram igualmente incluídas atualizações de segurança de várias dependências utilizadas pelo Node.js, incluindo c-ares, OpenSSL, SQLite, Undici e certificados CA.
Referências:
⚠️ O que afeta?
As vulnerabilidades afetam principalmente os branches Node.js 22.x, 24.x e 26.x, embora nem todas afetem as mesmas versões.
A vulnerabilidade de maior impacto, CVE-2026-111497, afeta:
- Node.js 22.x
- Node.js 24.x
- Node.js 26.x
O projeto Node.js alerta igualmente que versões que já atingiram o fim do período de suporte (EOL – End Of Life) devem ser consideradas afetadas quando são publicadas novas atualizações de segurança.
Em ambientes CloudLinux, estas versões poderão estar disponíveis através do Node.js Selector (alt-nodejs), sendo igualmente utilizado ea-nodejs em determinados ambientes cPanel.
Independentemente destas vulnerabilidades, recomendamos que sejam utilizadas sempre que possível versões Node.js atualmente suportadas, mantendo igualmente as aplicações e respetivas dependências atualizadas.
🧠 Impacto técnico
A CVE-2026-111497 corresponde a uma vulnerabilidade de escrita fora dos limites de memória (out-of-bounds write) no descodificador Brotli do Node.js.
Uma aplicação Node.js que processe conteúdo Brotli controlado por um atacante poderá, em determinadas condições, desencadear corrupção de memória.
A exploração bem-sucedida da vulnerabilidade poderá permitir execução remota de código, dependendo da aplicação e da forma como os dados são processados.
Além desta vulnerabilidade, as atualizações de outubro corrigem outras falhas relacionadas, entre outros componentes, com:
- Resolução DNS;
- Validação de certificados TLS;
- Reutilização de ligações HTTP Keep-Alive;
- Geração de valores aleatórios;
- Processamento de ficheiros ZIP;
- Node.js Permission Model;
- Validação de caminhos no sistema de ficheiros.
As atualizações incluem ainda correções de segurança para dependências utilizadas internamente pelo Node.js.
🛡️ Mitigação das vulnerabilidades
A solução recomendada consiste na atualização para uma versão corrigida do Node.js assim que esta esteja disponível para a plataforma utilizada.
Para os branches atualmente suportados foram publicadas as seguintes versões:
- Node.js 22.23.4
- Node.js 24.22.1
- Node.js 26.12.1
Nos servidores que utilizam CloudLinux, a disponibilização das versões através do Node.js Selector depende dos respetivos pacotes alt-nodejs fornecidos pela CloudLinux.
A CloudLinux encontra-se igualmente a preparar correções para versões Node.js mais antigas disponibilizadas através do alt-nodejs, incluindo versões que já atingiram o fim do período oficial de suporte.
As medidas de mitigação recomendadas pela CloudLinux foram implementadas preventivamente na infraestrutura sob gestão da WebTuga, enquanto decorre a disponibilização e aplicação das atualizações definitivas.
Estas medidas reduzem a exposição aos vetores de ataque conhecidos, mas não substituem a instalação das versões corrigidas.
🏗️ O que estamos a fazer
A equipa técnica da WebTuga encontra-se a acompanhar as atualizações de segurança publicadas pelo projeto Node.js e pela CloudLinux.
As medidas de mitigação recomendadas pela CloudLinux já foram implementadas nos servidores sob gestão da WebTuga.
A CloudLinux encontra-se a preparar os novos pacotes Node.js para CloudLinux OS 7, 8 e 9, bem como para os sistemas abrangidos pelo TuxCare e ambientes cPanel.
Estão em preparação, entre outros, os seguintes pacotes:
- Node.js 22.23.4
- Node.js 24.22.1
- Node.js 26.12.1
- ea-nodejs22 22.23.4
Encontram-se igualmente em preparação atualizações para versões mais antigas disponibilizadas através do alt-nodejs / Node.js Selector.
Assim que os pacotes corrigidos estejam disponíveis nos respetivos repositórios, as atualizações serão aplicadas com carácter prioritário nos servidores sob gestão da WebTuga.
📅 Linha de tempo
21/10/2026: O projeto Node.js publica novas atualizações de segurança para os branches 22.x, 24.x e 26.x.
21/10/2026: São disponibilizadas as versões corrigidas Node.js 22.23.4, 24.22.1 e 26.12.1.
22/10/2026: A CloudLinux confirma que está a preparar pacotes corrigidos para CloudLinux OS, TuxCare, cPanel e Node.js Selector.
22/10/2026: A WebTuga implementa preventivamente as medidas de mitigação recomendadas pela CloudLinux nos servidores sob sua gestão.
22/10/2026: A WebTuga mantém o acompanhamento da disponibilização dos pacotes corrigidos para proceder à respetiva atualização.
✅ Estado atual
🟡 Em acompanhamento: Mitigação preventiva aplicada
As novas versões de segurança já foram disponibilizadas oficialmente pelo projeto Node.js.
Nos ambientes que dependem dos pacotes fornecidos pela CloudLinux, encontra-se em curso a preparação e disponibilização das respetivas versões corrigidas, incluindo pacotes para versões Node.js mais antigas disponibilizadas através do Node.js Selector.
As medidas de mitigação recomendadas pela CloudLinux já foram implementadas pela WebTuga enquanto aguardamos a disponibilização dos pacotes corrigidos.
Assim que estes estejam disponíveis nos respetivos repositórios, procederemos à sua atualização com carácter prioritário.
Este artigo será atualizado à medida que forem disponibilizadas novas informações ou concluída a instalação das atualizações.
🧾 Conclusão
As atualizações de segurança de outubro de 2026 do Node.js corrigem várias vulnerabilidades, incluindo a CVE-2026-111497, que poderá permitir execução remota de código através do processamento de dados Brotli especialmente preparados.
Os utilizadores devem manter as suas aplicações em versões Node.js suportadas e atualizadas, bem como garantir a atualização regular das respetivas dependências.
A WebTuga já implementou as medidas preventivas recomendadas pela CloudLinux e encontra-se a acompanhar a disponibilização dos pacotes corrigidos para proceder à respetiva atualização nos servidores sob sua gestão.