Node.js: патчи 11 ноября для 22, 24 и 26, ветка 26 стала LTS

3 ноября 2026 года проект Node.js объявил релизы безопасности для веток 26.x, 24.x и 22.x. Новые версии выйдут в среду, 11 ноября, или вскоре после неё. Самая серьёзная проблема в каждой ветке отмечена как HIGH. Касается это всех, у кого на сервере работает Node.js: сайты на Next.js, Nuxt, Express, Telegram-боты и интеграции. Что делать: выделить окно на 11–12 ноября, чтобы обновить Node.js и перезапустить сервисы.

Почти одновременно, 28 октября, ветка 26 официально стала LTS. Версия 26.13.0 получила кодовое имя Lithium. Подробно о плане перехода мы писали в материале о переходе Node.js 26 в LTS, а здесь — что изменилось за неделю.

Что объявлено

Перечень уязвимостей и номера CVE в анонсе не раскрыты. Это обычная практика проекта: подробности публикуют в день выхода патчей, чтобы у злоумышленников не было форы. Поэтому сейчас можно только подготовиться.

В анонсе есть важная оговорка: версии с истёкшей поддержкой затронуты релизами безопасности всегда. Если на сервере работает Node.js 20 или старше, исправлений для него не будет.

Кого касается

• Сайты и веб-приложения на Next.js, Nuxt, Remix, Astro в режиме сервера.
• API на Express, Fastify, NestJS.
• Telegram-боты и обработчики вебхуков оплаты.
• Сборочные серверы и CI, где Node.js собирает фронтенд.
• Docker-образы с базой node:22, node:24, node:26 — их нужно пересобрать, а не просто перезапустить.

Отдельный случай — хостинг с панелью, где версию Node.js выбирают из списка. Там обновление зависит от провайдера: стоит проверить, когда он добавит новые сборки.

Что сделать до 11 ноября

1. Составьте список серверов и контейнеров с Node.js и запишите версии: node -v.
2. Если где-то стоит ветка без поддержки, запланируйте переход на 24 или 26.
3. Назначьте окно для обновления на 11–12 ноября и предупредите команду.
4. Проверьте, как ставится Node.js: пакет системы, nvm, официальный бинарник или Docker. От этого зависит команда обновления.
5. Для перехода на 26.x учтите примечание к релизу: начиная с Node.js 25 официальные бинарники для Linux связаны с libatomic, на некоторых дистрибутивах её нужно поставить отдельно.
6. После выхода патчей обновите, перезапустите процессы и проверьте ключевые сценарии: вход, оплату, отправку форм.

Если серверов несколько, удобнее, когда за обновлениями следит один ответственный по регламенту — это часть поддержки сервера. Проверить, что сайт после перезапуска отвечает, можно бесплатной проверкой доступности.

Какую ветку выбрать

Для новых проектов теперь логичен Node.js 26: он получает поддержку дольше остальных. Действующие сайты на 24.x переводить срочно не нужно, эта ветка тоже поддерживается. Ветка 22 ближе всех к концу поддержки, поэтому переход с неё лучше не откладывать. Общий календарь дат собран в материале о плане обновлений стека на 2027 год.