Node.js 11 ноября 2026: security-релиз для 22, 24 и 26

Проект Node.js заранее объявил, что в среду 11 ноября 2026 года или чуть позже выпустит security-обновления для линеек 22.x, 24.x и 26.x. Самая тяжёлая из исправляемых ошибок имеет уровень HIGH. Подробностей, номеров CVE и версий пока нет: они появятся вместе с релизом. Что делать до этого: узнать свою версию, найти все места, где работает Node.js, и подготовить окно для обновления.

Что известно на 10 ноября

Предупреждение появилось в рассылке oss-security 4 ноября, о нём написали SmartScope (6 ноября) и Cybersecurity News. Первоисточник — страница «Wednesday, November 11, 2026 Security Releases» в блоге Node.js. Это целевая дата, а не гарантия: проект оговаривает «в день или вскоре после». Число уязвимостей и типы в объявлении не указаны.

Для контекста: октябрьский релиз закрыл 10 уязвимостей, среди них Node2Shell (CVE-2026-111497), ошибку декодера Brotli в node:zlib, исправленную в 22.23.4, 24.22.1 и 26.12.1. К ноябрьскому набору она, по данным Cybersecurity News, не относится.

Кого это касается

• сайты и API на Next.js, Nuxt, Express, NestJS и других Node-фреймворках на своём сервере или в Docker;
• сервера сборки и CI, где собираются фронтенды;
• Telegram-боты и интеграции на Node.js;
• любые проекты на Node 20 и старше: исправлений для них не будет.

Если сайт на хостинге Vercel или другом управляемом сервисе, обновлять рантайм обычно будет платформа, но версию Node в настройках проекта стоит проверить. Заметим, что отдельный релиз безопасности был у Next.js 3 ноября: исправлены семь уязвимостей средней тяжести в 16.4.5 и 15.5.29, подробности в блоге Next.js.

Как подготовиться сегодня

1. Выполните node -v на каждом сервере и в каждом контейнере. В Dockerfile посмотрите тег базового образа.
2. Составьте список: серверы, CI-раннеры, контейнеры, рабочие машины разработчиков.
3. Если у вас Node 20 или ниже, запланируйте переход на поддерживаемую ветку. О том, как не сломать проект при смене мажорной версии, смотрите в разборе Node.js 27 alpha.
4. Подпишитесь на рассылку nodejs-sec или следите за блогом Node.js: там появятся номера версий.
5. Зафиксируйте версии в package.json (engines) и в образе, а не плавающий тег latest.
6. Заранее выберите окно на 11–12 ноября и проверьте, что есть резервная копия и способ быстро откатиться.

Что это значит для заказчика сайта

Если сайт ведёт подрядчик, спросите у него, на какой версии Node работает проект и кто следит за её поддержкой. Для нас это часть регулярных работ в рамках поддержки сайта, а при сбоях после обновления поможет экстренная помощь. Системная проверка зависимостей и рантайма входит в защиту сайта.

Источники: оповещение в oss-security от 4 ноября, SmartScope, Cybersecurity News, первоисточник — блог Node.js.