Resumo
O Node.js 26.12.1 é a versão de segurança da linha Current e reúne a lista mais ampla de correções do dia. O projeto classifica três falhas como altas, duas como médias e três como baixas. A publicação também atualiza certificados, dependências e a validação de cadeias TLS.
Novidades
A publicação não acrescenta recursos. O conteúdo reúne correções de segurança, atualizações de dependências e ajustes de empacotamento.
Melhorias
- nodejs 26.12.1 — Certificados raiz: a lista de autoridades segue o NSS 3.131.1, e a conversão de X.509 ganha validação mais rígida.
- nodejs 26.12.1 — TLS: cadeias com chaves públicas vetadas são rejeitadas.
- nodejs 26.12.1 — Dependências: c-ares sobe para 1.34.9 e o undici para 8.12.2.
- nodejs 26.12.1 — Empacotamento: a verificação do Gatekeeper e o stapling são repetidos depois da notarização.
Correções
- nodejs 26.12.1 — TLS, gravidade alta: endereços IP não canônicos são rejeitados, conforme CVE-2026-106069 e CVE-2026-106072.
- nodejs 26.12.1 — DNS, gravidade alta:
resolverecusa entradas com bytes nulos, conforme CVE-2026-105482. - nodejs 26.12.1 — TLS, gravidade alta: a regressão de normalização de IP é corrigida, conforme CVE-2026-105483.
- nodejs 26.12.1 — Brotli, gravidade alta: o decodificador expõe o erro de troca de bloco e recebe a correção associada a CVE-2026-111497.
- nodejs 26.12.1 — HTTP, gravidade média: a proteção de dados do agente funciona sem I/O, conforme CVE-2026-105481.
- nodejs 26.12.1 — Criptografia, gravidade média: os caches aleatórios são reiniciados entre snapshots, conforme CVE-2026-106074.
- nodejs 26.12.1 — zlib, gravidade baixa: cabeçalhos locais de ZIP inválidos não são mais cacheados, conforme CVE-2026-106070.
- nodejs 26.12.1 — Permissões, gravidade baixa: a árvore de permissões de
fsé corrigida em nós com curinga, conforme CVE-2026-106071. - nodejs 26.12.1 — Permissões, gravidade baixa:
realpathSyncconsulta o modelo de permissões, conforme CVE-2026-106073.
Ponto de Atenção
A rejeição de cadeias com chaves públicas vetadas e de IP não canônico pode interromper integrações que ainda dependem de certificados antigos. A correção no zlib muda o cache de cabeçalhos locais de ZIP, o que afeta rotinas que leem arquivos compactados gerados por outras ferramentas. Teste sugerido: atualize a imagem base, valide a cadeia TLS de cada integração e leia um ZIP de teste com cabeçalho local inválido para confirmar o comportamento.
Notas da versão
O release oficial do Node.js 26.12.1 foi publicado em 21/10/2026 às 10h38 UTC como versão Current.