Resumo
O Node.js 24.22.1 é uma versão de segurança da linha LTS Krypton. A publicação corrige o agente HTTP e a validação de entradas DNS, além de revisar a normalização de endereços IP em TLS e o modelo de permissões. O gerador de números aleatórios também recebe correção, e a atualização revisa a confiança em cadeias de certificados.
Novidades
A publicação não acrescenta recursos e reúne correções de segurança e atualizações das dependências de plataforma.
Melhorias
- nodejs 24.22.1 — Certificados raiz: a lista de autoridades segue o NSS 3.131.1.
- nodejs 24.22.1 — Dependências: c-ares sobe para 1.34.9, a base de timezone para 2026e, o OpenSSL para 3.5.9 e o undici para 7.30.1.
- nodejs 24.22.1 — TLS: cadeias com chaves públicas vetadas são rejeitadas.
Correções
- nodejs 24.22.1 — HTTP: a proteção de dados do agente funciona sem I/O, conforme CVE-2026-105481.
- nodejs 24.22.1 — DNS:
resolverecusa entradas com bytes nulos, conforme CVE-2026-105482. - nodejs 24.22.1 — TLS: a regressão de normalização de IP é corrigida, conforme CVE-2026-105483.
- nodejs 24.22.1 — Endereços IP: endereços não canônicos são rejeitados, conforme CVE-2026-106069.
- nodejs 24.22.1 — Permissões:
realpathSyncconsulta o modelo de permissões, conforme CVE-2026-106073. - nodejs 24.22.1 — Criptografia: os caches aleatórios são reiniciados entre snapshots, conforme CVE-2026-106074.
- nodejs 24.22.1 — Brotli: o decodificador expõe o erro de troca de bloco e recebe a correção associada a CVE-2026-111497.
Ponto de Atenção
A rejeição de cadeias com chaves públicas vetadas pode interromper integrações que ainda usam certificados antigos. O mesmo vale para serviços que usam representação não canônica de IP em SAN. Teste sugerido: atualize a imagem base, confira a cadeia TLS de cada integração e execute dns.resolve com bytes nulos para confirmar a recusa.
Notas da versão
O release oficial do Node.js 24.22.1 foi publicado em 21/10/2026 às 10h38 UTC como versão LTS.