El proyecto Node.js anunció que el 11 de noviembre de 2026 (o poco después) publicará parches de seguridad para las tres líneas que mantiene: 26.x, 24.x y 22.x. La falla más seria que corrige en cada una tiene severidad HIGH.
El aviso no dice todavía qué vulnerabilidades son ni qué módulos tocan. Lo que sí deja claro es a quién afecta: a cualquier equipo que corra Node.js en producción, en cualquiera de las versiones vigentes, y también a quienes siguen en versiones sin soporte.
Qué dice el aviso oficial
El anuncio está publicado en el blog de vulnerabilidades de Node.js y lo difundió The Hacker News. Estos son los datos que da:
- Líneas afectadas: 26.x, 24.x y 22.x, las tres con al menos una falla de severidad HIGH.
- Fecha: las versiones nuevas salen el 11 de noviembre o poco después.
- Versiones sin soporte: el proyecto aclara que las versiones que ya terminaron su ciclo de vida (End-of-Life) siempre quedan afectadas cuando hay un lanzamiento de seguridad, y no reciben el parche.
Por qué avisan antes y no dicen qué es
Node.js publica un preaviso unos días antes de cada lanzamiento de seguridad. Sirve para que los equipos reserven tiempo para actualizar, sin entregarles a los atacantes los detalles técnicos antes de que exista la corrección.
Los detalles (los identificadores CVE, los módulos afectados y cómo se explota cada falla) se publican el mismo día que salen las versiones corregidas. Un CVE es el número público que identifica a cada vulnerabilidad, y es lo que después usan los escáneres para avisar si una versión está expuesta.
HIGH es el segundo nivel de la escala que usa el proyecto, debajo de CRITICAL y por encima de MEDIUM y LOW. Por eso conviene planificar el parche para los días siguientes al lanzamiento, no para dentro de semanas.
Qué versiones corren hoy y cuáles quedan afuera
Según el calendario oficial de versiones, el mapa al 5 de noviembre es este:
- Node.js 26 (Lithium): pasó a LTS (soporte de largo plazo) el 28 de octubre de 2026. Última versión:
26.13.0. - Node.js 24 (Krypton): en mantenimiento desde el 20 de octubre, con soporte hasta el 30 de abril de 2028. Última versión:
24.22.2. - Node.js 22 (Jod): en mantenimiento, con soporte hasta el 30 de abril de 2027. Última versión:
22.23.4. - Node.js 20 y anteriores: sin soporte. Node.js 20 terminó su ciclo el 30 de abril de 2026, así que no va a recibir este parche.
LTS quiere decir que la línea recibe correcciones de seguridad y de errores por un período largo y conocido. Por eso es la que se usa en producción. Las líneas impares (como la 25) duran pocos meses y no son LTS.
Es el segundo lanzamiento de seguridad en pocas semanas
El 21 de octubre, Node.js había corregido 10 vulnerabilidades, entre ellas una falla en el descompresor Brotli que permitía ejecutar código remoto (CVE-2026-111497). Las versiones de ese lanzamiento fueron 22.23.4, 24.22.1 y 26.12.1.
Los equipos que todavía no aplicaron esas versiones de octubre arrastran fallas ya públicas. El lanzamiento del 11 de noviembre se suma encima, y llegar a esa fecha con el parche anterior pendiente hace todo más lento.
Qué conviene preparar antes del 11 de noviembre
Como todavía no se sabe qué módulos están involucrados, lo útil es tener todo listo para actualizar apenas salgan las versiones:
- Inventario: listar dónde corre Node.js (servidores, contenedores, funciones serverless, agentes de CI) y qué versión tiene cada uno. Con
node -ven cada entorno, o revisando las imágenes base de Docker. - Parche pendiente de octubre: si algún entorno está por debajo de
22.23.4,24.22.1o26.12.1, actualizarlo ya. - Versiones sin soporte: planificar la migración de todo lo que corre en Node.js 20 o anteriores a 22, 24 o 26, porque no va a recibir la corrección.
- Ventana de cambio: reservar tiempo la semana del 11 de noviembre para probar y desplegar, incluida la actualización de imágenes base y de los pipelines.
- Aviso directo: suscribirse a la lista nodejs-sec, de bajo volumen, que anuncia solo los lanzamientos de seguridad.
¿Saben qué versión de Node.js corre en cada entorno?
El parche llega el 11 de noviembre y la diferencia la hace tener el inventario hecho antes. ¿Ya tienen identificados los servicios que siguen en Node.js 20? Los leemos en los comentarios.
Fuentes
- Node.js: Wednesday, November 11, 2026 Security Releases
- The Hacker News: Node.js warns of HIGH-severity security vulnerabilities
- Node.js Release Working Group: calendario de versiones
- Node.js: política de seguridad
- MUG: Node.js corrige 10 vulnerabilidades, entre ellas una falla en Brotli
