Node.js rilascia due patch di sicurezza

Il 21 ottobre 2026 Node.js ha pubblicato due security release: 26.12.1 (Current) e 24.22.1 “Krypton” (LTS), con correzioni classificate High su TLS, DNS e Brotli^1,2.

Le note di rilascio indicano quattro CVE ad alta gravità comuni a entrambe le versioni. Due riguardano TLS: rifiuto di indirizzi IP non canonici e fix a una regressione nella normalizzazione degli IP. Una interessa il DNS: validazione degli input di resolve contro byte null. La quarta tocca Brotli, con l’inclusione di una correzione cherry-pickata identificata come CVE-2026-111497^1,2.

Oltre alle patch High, entrambi i rami includono fix di gravità Media. Nel modulo http viene garantito che il data guard dell’agente funzioni anche senza I/O. In crypto viene azzerata la cache dei valori casuali tra snapshot. È presente anche un fix Low nel permission model per realpathSync. Solo sulla Current appare un’ulteriore voce Low su zlib, che evita il caching di intestazioni ZIP locali non valide^1,2.

La 26.12.1 integra modifiche aggiuntive rispetto al ramo LTS. In TLS vengono rifiutate catene che contengono chiavi pubbliche bloccate. Nel motore V8 è stato backportato il commit 93cd21e8254b. Sugli strumenti di rilascio è stato introdotto un retry del controllo Gatekeeper e dello stapling dopo la notarizzazione. La Current aggiorna anche c-ares alla 1.34.9 e allinea i certificati root a NSS 3.131.1¹.

La 24.22.1 “Krypton” porta aggiornamenti di dipendenze mirati. Oltre a c-ares 1.34.9 e ai certificati root NSS 3.131.1, le note elencano timezone 2026e, i sorgenti di OpenSSL a openssl-3.5.9 e undici alla 7.30.1. Il post ufficiale etichetta esplicitamente il rilascio come security release, in linea con la Current².

I nomi dei maintainer compaiono accanto a più voci chiave. Matteo Collina firma il rifiuto degli IP non canonici e la voce su zlib nella Current. James M Snell interviene su DNS e sulla regressione di normalizzazione IP, oltre al fix http di gravità Media. Evgenii Kliuchnikov è associato alla correzione Brotli. Filip Skokan lavora al reset delle cache casuali in crypto. RafaelGSS figura sul controllo del permission model in realpathSync. Ulises Gascon compare sulla misura TLS che blocca catene con chiavi pubbliche vietate, nella Current. Antoine du Hamel cura l’aggiornamento dei certificati root a NSS 3.131.1. Il bot del repository aggiorna c-ares in entrambi i rami e, per la LTS, anche timezone, OpenSSL e undici^1,2.

Le due release sono accompagnate da post a firma di Antoine du Hamel, con la data del 21 ottobre 2026. La pagina della 26.12.1 è indicata come Current e mostra anche che il post è stato preparato da @RafaelGSS. La pagina della 24.22.1 riporta il nome in codice “Krypton” del ramo LTS e l’handle @aduh95^1,2.

Per i dettagli di implementazione, le note di rilascio elencano esplicitamente i cambiamenti, compresi gli hash dei commit dove presenti, come nel caso del backport su V8 e degli aggiornamenti di librerie e toolchain^1,2.