O projeto Node.js lançou, na quarta-feira (21), atualizações urgentes para corrigir dez vulnerabilidades em linhas ativas, que correspondem aos pacotes de software que recebem suporte oficial e correções constantes dos desenvolvedores. O ponto mais crítico é uma falha no sistema de compactação Brotli, uma tecnologia usada para diminuir o tamanho de arquivos e acelerar a transferência de dados na internet.
Registrada sob o código CVE-2026-111497, a brecha permite, em teoria, a execução remota de código. Na prática, invasores podem tentar rodar comandos maliciosos nos computadores ou servidores afetados. As correções foram aplicadas nas versões 22.23.4, 24.22.1e 26.12.1.
Falha crítica no Node.js abre brecha para ataque cibernético
O ecossistema na versão 20.x encerrou o período de suporte oficial e, conforme o cronograma do projeto, ficou de fora do pacote de correções, o que exige a migração rápida para uma das opções atualizadas. A descoberta partiu dos pesquisadores Khai Tran e Sylvie Mayer, integrantes do grupo OpenAI Codex Security, segundo os registros oficiais disponíveis no GitHub do Node.js.
O problema acontece em um código que já vem embutido no Node.js. Sempre que o sistema processa dados compactados por esse método, seja ao receber dados de um formulário ou ao buscar arquivos em outro servidor, a rotina vulnerável entra em ação. Assim, aplicativos que lidam com informações enviadas por visitantes externos ficam expostos caso utilizem versões desprotegidas.
Bloqueio de chaves e barreiras de segurança
Além da falha de compactação, o pacote de segurança soluciona problemas na verificação de certificados e falhas secundárias como a do undici. O projeto também inseriu um bloqueio interno para chaves de autoridades certificadoras intermediárias da empresa indiana eMudhra, com a atualização da lista raiz.
Esses intermediários funcionam como empresas validadoras que emitem certificados de segurança para sites, e as chaves privadas foram comprometidas neste mês e exigiram o corte imediato de confiança por parte dos softwares.
A plataforma Vercel agiu rapidamente para proteger os clientes. A equipe de segurança da empresa informou, por meio de comunicado oficial, que “adicionou regras de firewall que bloqueiam o ataque em solicitações recebidas”. Apesar das mudanças, os responsáveis ressaltam que essa barreira externa não substitui a atualização do software nos servidores deles.
Falha crítica no Node.js abre brecha para ataque cibernético
Integrantes do grupo de lançamento do Node.js reforçam que a prioridade para as equipes de tecnologia é a atualização imediata dos ambientes de produção. Afinal, servidores dedicados e sistemas que ainda rodam versões antigas continuam vulneráveis até que os administradores apliquem os pacotes mais recentes divulgados pelos mantenedores oficiais.
Fonte Tecmundo
