Коротко
21 жовтня 2026 року проєкт Node.js випустив оновлення безпеки для трьох гілок: 22.23.4, 24.22.1 і 26.12.1. Релізи вже доступні. Найвищий рівень серйозності виправлених проблем — high, тобто високий, а не critical.
За офіційним повідомленням, серед виправлень є CVE-2026-111497: помилка декодера Brotli, що може дозволити віддалене виконання коду. Вона стосується гілок 22.x, 24.x і 26.x. Проєкт дякує команді OpenAI Codex Security за повідомлення про цю вразливість; це не означає, що всі виправлення релізу знайшов ШІ.
Кому це важливо
Власникам бізнесів, чиї сайти, системи бронювання або інтеграції використовують Node.js. Наявність сайту сама по собі цього не доводить: спершу запитайте розробника або постачальника сервісу, чи використовується це середовище у вашому процесі.
Практичний висновок: потрібне не загальне «все оновлено», а підтвердження того, яка версія працює саме в розгорнутій системі. Оновлення на ноутбуці розробника не підтверджує оновлення сервера.
Що попросити перевірити
Нижче — редакційний порядок дій, а не результат тестування конкретної системи.
- Скласти короткий перелік компонентів із Node.js: сайт, окремий сервіс, фонова задача або інтеграція. Для кожного вказати відповідального.
- Зіставити поточну гілку й версію з відповідним виправленим релізом. Не доручайте навмання перехід на іншу основну гілку лише через більший номер.
- Погодити з технічним відповідальним перевірку сумісності, спосіб розгортання та відновлення роботи в разі збою.
- Після розгортання отримати підтвердження фактичної версії й перевірити важливий для бізнесу сценарій без реальної оплати чи непогоджених повідомлень клієнтам.
Ілюстративний приклад: невеликий готель має окрему інтеграцію, яка передає заявку із сайту до системи бронювання. Якщо вона використовує Node.js, підрядник має перевірити саме її середовище, а після оновлення — проходження тестової заявки. Це не опис реального інциденту чи перевіреного кейсу.
Для керованого сервісу запитайте постачальника про застосовність оновлення й виконані дії. Не змінюйте самостійно інфраструктуру, до якої у вас немає відповідного доступу та відповідальності.
Межі повідомлення
Офіційний бюлетень не встановлює, що кожен застосунок на Node.js можна атакувати через цю помилку, і не підтверджує активну експлуатацію. Ми не перевіряли ваші системи. Конкретну застосовність має оцінити технічний відповідальний.
На сторінці бюлетеня залишився попередній текст про запланований випуск, але її розділ про доступні оновлення та сторінки трьох релізів підтверджують вихід 21 жовтня.
Читайте також: як підготувати ручний резервний процес.
Автор: Надалі. Підготовлено за допомогою ШІ. Джерела перевірено 22 жовтня 2026 року.
Обкладинка: оригінальна концептуальна ШІ-ілюстрація, не фото інциденту чи доказ тестування.
