Node.js corrige 16 falhas, incluindo exposição de chaves TLS

O Node.js recebeu correções para 16 vulnerabilidades, segundo as fontes do lote. As versões indicadas são 22.23.5, 24.22.3 e 26.13.1. Entre os problemas relatados estão falhas que podem derrubar servidores HTTP/2 e, em condições específicas, expor partes da memória do servidor, possivelmente incluindo chaves privadas TLS e dados de outras conexões.[1]Node.js Fixes 16 Flaws, Including HTTP/2 Bugs That Crash Servers and Leak Other Connections' Datathehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

A atualização cobre as três linhas descritas como suportadas. A reportagem afirma que uma falha no suporte HTTP/2 integrado permite que clientes não autenticados derrubem servidores nas linhas 24.x e 26.x. Outra falha HTTP/2 poderia fazer o servidor enviar a um cliente fragmentos de sua memória, inclusive respostas destinadas a outras conexões.[1]Node.js Fixes 16 Flaws, Including HTTP/2 Bugs That Crash Servers and Leak Other Connections' Datathehackernews.com · rssAbrir fonte originalVer na lista de fontes

O impacto potencial combina indisponibilidade e perda de confidencialidade. Uma aplicação pode parar de responder após tráfego remoto não autenticado, enquanto a exposição de memória pode revelar informações que deveriam permanecer isoladas entre conexões. Uma das fontes também associa a CVE-2026-123864 à possível exposição de chaves privadas TLS e solicitações de outros usuários, mas não demonstra que isso tenha ocorrido em ataques reais.[1]Node.js Fixes 16 Flaws, Including HTTP/2 Bugs That Crash Servers and Leak Other Connections' Datathehackernews.com · rssAbrir fonte originalVer na lista de fontes[3]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes

Administradores de serviços em Node.js devem verificar a versão instalada e planejar a atualização para 22.23.5, 24.22.3 ou 26.13.1, conforme a linha adotada. A recomendação de atualização imediata aparece nas fontes, embora o lote não forneça instruções de mitigação, testes de compatibilidade ou alternativas para ambientes que não possam atualizar agora.[1]Node.js Fixes 16 Flaws, Including HTTP/2 Bugs That Crash Servers and Leak Other Connections' Datathehackernews.com · rssAbrir fonte originalVer na lista de fontes[3]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes

As fontes convergem no total de 16 vulnerabilidades, em sete classificadas como de alta gravidade e nas três versões corrigidas. O lote não inclui o comunicado oficial do projeto, pontuações técnicas completas, configurações exatas necessárias para a exposição de chaves TLS, provas de exploração ativa ou confirmação de vítimas.[1]Node.js Fixes 16 Flaws, Including HTTP/2 Bugs That Crash Servers and Leak Other Connections' Datathehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes[3]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes

The Hacker News destacou tanto a queda remota de servidores HTTP/2 quanto o vazamento de dados entre conexões. No X, DarkWebInformer descreveu a CVE-2026-123864 como uma falha capaz de permitir a extração não autenticada de memória sensível em condições específicas e pediu que administradores atualizassem seus ambientes.[1]Node.js Fixes 16 Flaws, Including HTTP/2 Bugs That Crash Servers and Leak Other Connections' Datathehackernews.com · rssAbrir fonte originalVer na lista de fontes[3]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes

A primeira publicação do lote apresentou o pacote como uma correção de 16 vulnerabilidades e concentrou a atenção na possível exposição de chaves TLS. Depois, a reportagem do The Hacker News acrescentou detalhes sobre dois comportamentos ligados a HTTP/2: queda do servidor e envio indevido de memória. Uma publicação posterior do mesmo veículo resumiu os riscos e reiterou que o cenário de queda afeta servidores nas linhas 24.x e 26.x.[3]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes[1]Node.js Fixes 16 Flaws, Including HTTP/2 Bugs That Crash Servers and Leak Other Connections' Datathehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

2 grupos independentes, 3 atualizações e 73 interações.

HTTP/2 é o protocolo usado para transportar várias solicitações de forma eficiente pela mesma conexão. Segundo a reportagem, uma das falhas aceita interação de clientes sem autenticação e pode causar a queda do processo servidor. A segunda pode misturar limites de memória ou conexão, levando o servidor a devolver fragmentos internos, inclusive respostas pertencentes a outros clientes.[1]Node.js Fixes 16 Flaws, Including HTTP/2 Bugs That Crash Servers and Leak Other Connections' Datathehackernews.com · rssAbrir fonte originalVer na lista de fontes

O lote contém uma reportagem do The Hacker News e duas publicações no X, uma do próprio veículo e outra do perfil DarkWebInformer. As três fontes repetem os números centrais, mas nenhuma é o aviso oficial do projeto Node.js. Por isso, detalhes como a associação específica entre a CVE-2026-123864 e chaves TLS devem ser tratados como relatos ainda não confirmados por evidência primária neste lote.[1]Node.js Fixes 16 Flaws, Including HTTP/2 Bugs That Crash Servers and Leak Other Connections' Datathehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes[3]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes