Node.js lanzó el 21 de octubre de 2026 nuevas versiones que corrigen diez vulnerabilidades, entre ellas una falla grave en el decodificador Brotli (CVE-2026-111497) que upstream describe como capaz de permitir ejecución remota de código. CloudLinux ha reconstruido y publicado paquetes alt-nodejs para sus repositorios para que los administradores puedan instalarlos en servidores compartidos y VPS gestionados con Node.js Selector.
Qué cambia y a quién afecta
Las versiones publicadas por Node.js son v22.23.4, v24.22.1 y v26.12.1; en conjunto corrigen diez CVE que afectan áreas como HTTP, DNS, TLS, criptografía, el modelo de permisos y el decodificador Brotli. De esos fallos, cuatro se clasifican como de gravedad High, tres como Medium y tres como Low según la valoración upstream.
En entornos de alojamiento compartido la versión de Node.js usada corresponde a la aplicacif3n de cada cuenta (no al sistema del host). Por tanto, cualquier aplicación que procese datos de red no confiables —por ejemplo, que decodifique contenido comprimido o valide nombres y certificados de servidor— puede quedar expuesta. Las incidencias de mayor riesgo cubren el decodificador Brotli, el manejo de nombres DNS y las comprobaciones de nombres de host en TLS, por lo que la exposición depende de cómo cada aplicación trate entradas provenientes de terceros.
Qué debe hacer el administrador
- Actualizar los paquetes alt-nodejs de la distribución CloudLinux a las versiones ya publicadas en los repositorios estables (las líneas afectadas incluyen alt-nodejs12, 14, 16, 18, 20, 24 y 26, y alt-nodejs22 en CloudLinux 8 y 9; CloudLinux indica que la reconstrucción para otras plataformas está en curso).
- Reiniciar las aplicaciones Node.js tras instalar la actualización: las aplicaciones continúan usando el binario anterior hasta que se reinician. El reinicio puede realizarse desde Node.js Selector o mediante la orden indicada por CloudLinux.
- Revisar aplicaciones que obtengan o acepten contenido comprimido desde orígenes no controlados y, mientras no haya un paquete disponible, evitar decodificar Brotli procedente de terceros para reducir la exposición al problema CVE-2026-111497. Actualizar el paquete brotli del sistema no corrige la falla: alt-nodejs incorpora su propia copia de Brotli, por lo que solo la actualización del paquete alt-nodejs cierra el fallo.
- Suscribirse a la página de estado de CloudLinux para recibir notificaciones cuando cada paquete esté disponible si administra múltiples plataformas o líneas.
Notas técnicas y de alcance
CloudLinux reconstruye y publica alt-nodejs (paquetes alternativos de Node.js) para que lleguen a las cuentas de hosting. Esto significa que la corrección aplicada por Node.js en upstream llega a los usuarios de CloudLinux solo cuando la empresa recompila y sube las versiones empaquetadas; lo mismo sucede con builds para Debian, Ubuntu, Alpine y con ea-nodejs (cPanel) y los paquetes de terceros como TuxCare.
No hay un paliativo documentado para la falla de Brotli por parte de upstream: la solución es instalar el paquete alt-nodejs actualizado. Además, upstream no parchea líneas de Node.js que ya están fuera de su ciclo de vida, y esas versiones son las que con más probabilidad permanecen en instalaciones antiguas; CloudLinux indica que está construyendo paquetes actualizados incluso para esas líneas.
Finalmente, las versiones incluidas en los paquetes reconstruidos mostrarán en su metadato el número de release que indica si están corregidas; en las líneas soportadas, tras la actualización la versión de Node.js también pasará a reflejar v22.23.4, v24.22.1 o v26.12.1 o posteriores.
Lee también:
- Vendedores y agencias publican parches y advertencias por fallos críticos PHP2Shell
- Chrome refuerza la protección contra estafas ClickFix y conexiones HTTP inseguras
Fuente: CloudLinux
