O projeto Node.js lançou, na quarta-feira (21), atualizações urgentes para corrigir dez vulnerabilidades em linhas ativas, que correspondem aos pacotes de software que recebem suporte oficial e correções constantes dos desenvolvedores. O ponto mais crítico é uma falha no sistema de compactação Brotli, uma tecnologia usada para diminuir o tamanho de arquivos e acelerar a transferência de dados na internet.
Registrada sob o código CVE-2026-111497, a brecha permite, em teoria, a execução remota de código. Na prática, invasores podem tentar rodar comandos maliciosos nos computadores ou servidores afetados. As correções foram aplicadas nas versões 22.23.4, 24.22.1e 26.12.1.
O ecossistema na versão 20.x encerrou o período de suporte oficial e, conforme o cronograma do projeto, ficou de fora do pacote de correções, o que exige a migração rápida para uma das opções atualizadas. A descoberta partiu dos pesquisadores Khai Tran e Sylvie Mayer, integrantes do grupo OpenAI Codex Security, segundo os registros oficiais disponíveis no GitHub do Node.js.
O problema acontece em um código que já vem embutido no Node.js. Sempre que o sistema processa dados compactados por esse método, seja ao receber dados de um formulário ou ao buscar arquivos em outro servidor, a rotina vulnerável entra em ação. Assim, aplicativos que lidam com informações enviadas por visitantes externos ficam expostos caso utilizem versões desprotegidas.
