Node.js corrige falhas graves em 11/11: o que fazer antes

Um servidor de produção ainda rodando Node.js 20 não vai receber a próxima rodada de correções de segurança do projeto. Em 3 de novembro de 2026, a equipe do Node.js publicou um pré-aviso informando que lançará, em 11 de novembro de 2026 ou logo depois, novas versões das linhas 26.x, 24.x e 22.x, todas com falhas de severidade alta corrigidas.

O aviso não diz quais são as vulnerabilidades. É o formato padrão do projeto: anunciar a data com antecedência para que as equipes reservem tempo de atualização, e só revelar os detalhes junto com os pacotes corrigidos.

O que a equipe do Node.js já confirmou

• Linhas que recebem correção: 26.x, 24.x e 22.x.
• Severidade máxima: alta (High) nas três linhas.
• Data prevista: 11 de novembro de 2026 ou pouco depois.
• Versões fora do suporte: segundo a página oficial, linhas em fim de vida são sempre afetadas por releases de segurança.

Falhas ainda sem nome, número ou componente

Até 6 de novembro, o pré-aviso não trazia identificadores CVE, quantidade de falhas, módulos afetados nem números das versões corrigidas. Também não há workaround documentado. É a prática habitual do projeto: os detalhes ficam guardados até que os pacotes estejam prontos, para não dar vantagem a quem quer explorar as falhas. Isso significa que não dá para avaliar agora se a sua aplicação usa o trecho vulnerável: a decisão sensata é tratar a atualização como obrigatória.

A data pode escorregar. Segundo o site Cyber Kendra, o release de segurança de julho foi adiado duas vezes. Acompanhe a lista de anúncios nodejs-sec, onde os detalhes saem primeiro.

Linha do tempo até o patch de novembro

Antes do dia 11: alinhe a versão de outubro

Quem ainda não aplicou o release de segurança de outubro está com duas pendências. Segundo o Cyber Kendra, as versões mínimas recomendadas antes da nova rodada são 26.12.1, 24.22.1 e 22.23.4. Para conferir:

1. Rode node –version no servidor, nos contêineres e nos runners de CI.
2. Liste imagens Docker com a versão fixada na tag. Elas só recebem a correção quando forem reconstruídas.
3. Verifique funções serverless com runtime fixo no provedor de nuvem.
4. Reserve uma janela de deploy entre 11 e 13 de novembro para aplicar o patch.

O Node do meu projeto front-end também entra na conta?

Entra com prioridade menor. Se o Node só roda na máquina do desenvolvedor para compilar o site, o risco de exploração remota é baixo. Já servidores de API, SSR, workers de fila e ferramentas internas expostas à rede devem ser os primeiros da fila.

Gerenciadores de versão seguem a correção sozinhos?

Não. Quem usa nvm, fnm, Volta ou arquivos .nvmrc fixos precisa trocar a versão declarada no projeto. Em pipelines, a mesma regra vale para a versão definida no arquivo de configuração do CI.

Node 20 e Node 25 ficaram para trás

O Node.js 20 teve a última atualização em março, assim como o 25, e nenhum dos dois receberá a correção de novembro. A recomendação do projeto é migrar para uma linha suportada. Quem não consegue migrar a tempo pode recorrer a suporte comercial estendido, citado pela própria comunidade como solução temporária.

Para quem vai pular direto para o 26, há mudanças de comportamento e a dependência de libatomic nos binários oficiais para Linux. O roteiro de migração está em Node.js 26 vira LTS em 28/10: o que quebra e como migrar do Node 24.

Detalhes que só saem com os pacotes

Ficam pendentes os CVEs, a descrição de cada falha e a pontuação exata de risco. Quando esses dados forem publicados, a prioridade é olhar se algum componente afetado está exposto à internet, como servidores HTTP, TLS ou parsing de dados recebidos de usuários.

Fontes: Node.js: November 2026 Security Releases; Cyber Kendra: Node.js November 2026 Security Release.