# Node.js выпустил обновления безопасности для веток 22.x, 24.x и 26.x

> Источник: 404 Media. Канонический URL: https://404-media.ru/tehnologii/node-js-vypustil-obnovleniya-bezopasnosti-dlya-vetok-22-x-24-x-i-26-x

Разработчики Node.js закрыли десять уязвимостей, включая четыре проблемы высокого уровня опасности и риск удалённого выполнения кода.

- Рубрика: Технологии (https://404-media.ru/tehnologii)
- Опубликовано: 2026-10-22T09:42:25+03:00
- HTML: https://404-media.ru/tehnologii/node-js-vypustil-obnovleniya-bezopasnosti-dlya-vetok-22-x-24-x-i-26-x
- Markdown: https://404-media.ru/tehnologii/node-js-vypustil-obnovleniya-bezopasnosti-dlya-vetok-22-x-24-x-i-26-x.md
- llms.txt: https://404-media.ru/llms.txt

![Node.js выпустил обновления безопасности для веток 22.x, 24.x и 26.x](https://storage.yandexcloud.net/404-media/media/2026/10/ZH0dmIwp8aKePyqG4FpB4cjL5cqp6C9tT9Ll6OcC.jpg)

21 октября команда Node.js выпустила обновления безопасности для поддерживаемых веток 22.x, 24.x и 26.x. В релизах исправили десять уязвимостей: четыре получили высокий уровень опасности, три отнесли к среднему, ещё три — к низкому.

Самой серьёзной проблемой стала уязвимость CVE-2026-111497 в декодере Brotli. Ошибка позволяет записывать данные за пределами выделенной области памяти и при определённых условиях может привести к удалённому выполнению кода. Уязвимость затрагивает все три ветки Node.js.

## Проблемы с TLS и DNS

Две уязвимости связаны с проверкой имени узла в TLS-сертификатах. Ошибка CVE-2026-105483 возникает при обработке IP-адресов, записанных с использованием полноширинных цифр Unicode, и касается веток 24.x и 26.x. CVE-2026-106069 затрагивает все три версии и связана с именами узлов, которые нестандартным образом преобразуются в IP-адреса.

Ещё одна проблема высокого уровня, CVE-2026-105482, обнаружена в функции **dns.resolve()**. Она обрезала DNS-имена, содержащие нулевой байт, из-за чего [приложение](/tehnologii) могло получить адрес другого имени, отличного от переданного. Уязвимость присутствует в Node.js 22.x, 24.x и 26.x.

## Исправления среднего и низкого уровня опасности

К числу проблем среднего уровня относятся CVE-2026-105481, из-за которой HTTP-клиент в keep-alive-соединениях мог обработать ответ, сформированный ещё до отправки запроса, а также CVE-2026-106072 — ошибка проверки TLS-сертификатов для IPv4-адресов в нестандартной записи.

Уязвимость CVE-2026-106074 затрагивает генерацию случайных значений. В некоторых сценариях **crypto.randomUUID()** и **crypto.randomInt()** могли повторно использовать одни и те же значения в разных процессах из-за сохранения кэша энтропии в снимках состояния приложения и автономных исполняемых файлах.

Три исправления с низким уровнем опасности касаются обработки ZIP-файлов и модели разрешений Node.js. В частности, разработчики устранили ошибки проверки доступа к файловой системе при использовании шаблонов путей и функции **fs.realpathSync()**.

Кроме того, в обновлениях изменили встроенные зависимости, включая c-ares и Undici, а для отдельных веток — OpenSSL и SQLite. В релизы также вошли обновления списка доверенных удостоверяющих центров после компрометации промежуточного центра eMudhra.

## Какие версии обновились

21 октября вышли следующие исправленные версии:

- Node.js 22.22.1;
- Node.js 24.12.1;
- Node.js 26.12.1 — текущая ветка (Current).

Набор исправлений зависит от ветки: часть проблем с IP-адресами, ZIP-файлами и ограничениями доступа относится только к отдельным версиям. Поэтому администраторам следует проверить фактически установленную версию Node.js во всех окружениях — на серверах, в Docker-образах и сборках CI/CD — и убедиться, что после обновления используется исправленный релиз.

Команда Node.js также напоминает, что ветки с истёкшим сроком поддержки не получают регулярные исправления безопасности и не должны использоваться в рабочих системах.