Node.js выпустил обновления безопасности для своих поддерживаемых версий 22.x, 24.x и 26.x 21 октября 2026 года. Эти обновления устраняют ряд уязвимостей, затрагивающих ключевые функции. Затронутые области включают декодер Brotli, разрешение DNS и проверку TLS-сертификатов. Некоторые уязвимости имеют высокий рейтинг влияния на безопасность. В частности, CVE-2026-111497 позволяет потенциально выполнить удаленный код из-за записи за пределами допустимых границ в декодере Brotli. CVE-2026-105482 связана с усечением разрешения DNS при встраивании символов NUL. Две уязвимости, CVE-2026-105483 и CVE-2026-106069, позволяют обойти проверку TLS-имен хостов с использованием полноширинных цифр IP-адресов или неканонических IP-адресов соответственно. Эти уязвимости представляют риск удаленного выполнения кода и перехвата трафика. Cisco подтвердила, что продукты, не указанные в их консультативном документе, не затронуты. Консультативный документ будет обновляться по мере поступления дополнительной информации.