Node.js corrige 16 falhas, incluindo bugs no HTTP/2 que podem derrubar servidores e vazar dados de outras conexões

12 de Novembro de 2026

Uma falha corrigida nesta semana no Node.js permite que clientes sem autenticação derrubem servidores que usam o suporte nativo do Node.js ao HTTP/2 nas linhas 24.x e 26.x. Uma segunda falha no HTTP/2 pode fazer o servidor enviar ao cliente fragmentos de sua memória, inclusive respostas destinadas a outras conexões.

Foram lançadas versões corrigidas para as três linhas com suporte: 22.23.5, 24.22.3 e 26.13.1.

A falha que derruba o servidor, CVE-2026-123863 , exige apenas um servidor HTTP/2 com configuração padrão que envie uma resposta antes de receber todo o corpo da solicitação. O projeto Node.js considera esse comportamento comum. O ataque funciona tanto em conexões TLS quanto em conexões sem criptografia.

A falha de exposição de memória, CVE-2026-123866 , afeta as três linhas. Nas versões 24.22.0 ou posteriores e 26.9.0 ou posteriores, ela pode ser acionada apenas pelo cliente. Nas versões 22.x e nas versões anteriores das linhas 24.x e 26.x, a falha ainda pode ser explorada quando o próprio servidor encerra um fluxo no meio de uma resposta, por exemplo, após um tempo limite de inatividade.

Uma falha distinta em servidores HTTPS do Node.js, CVE-2026-123864 , pode permitir que um cliente sem autenticação leia dados da memória de outras conexões, “incluindo chaves privadas TLS e solicitações de outros usuários”, segundo o projeto. O problema afeta as três linhas com suporte.

A falha exige um manipulador que chame `res.flushHeaders()` antes de receber todo o corpo da solicitação e, mais tarde, use `res.end()` com dados. Para ler a memória exposta, também é necessário que uma rota envie de volta ou armazene o corpo de uma solicitação. Servidores HTTP simples criados com `node:http` não são afetados.

A versão corrige 16 vulnerabilidades no próprio Node.js, sete delas classificadas como de alta gravidade. As outras quatro falhas de alta gravidade e os servidores afetados são:

- ** CVE-2026-123865 :** um cliente pode fazer com que qualquer servidor HTTP/2 com configuração padrão consuma memória e mantenha descritores de arquivos ocupados indefinidamente. A falha afeta as três linhas.
- ** CVE-2026-123874 :** um cliente pode corromper a memória do servidor nas linhas 24.x e 26.x quando ele disponibiliza arquivos por meio de `stream.respondWithFile()` ou `stream.respondWithFD()`. Nas três linhas, cancelar esses downloads também pode derrubar o servidor ( CVE-2026-123875 , classificada como de gravidade média).
- ** CVE-2026-126051 :** um cliente pode derrubar um servidor TLS nas linhas 24.x e 26.x se ele usar os callbacks `SNICallback`, `OCSPRequest`, `newSession` ou `resumeSession`, ou o método `server.addContext()`.
- ** CVE-2026-123872 :** em um servidor TLS com regras mais rígidas para certificados de cliente em determinados nomes de host, um cliente autorizado para um nome de host pode acessar outro que exige regras mais restritas durante uma renegociação TLS 1.2, sem cumprir essas exigências. A falha afeta as três linhas.

As oito falhas citadas estão no próprio código de servidor HTTP/2, HTTPS e TLS do Node.js. Por isso, são relevantes quando um processo Node.js aceita essas conexões diretamente.

De acordo com o comunicado de segurança do projeto, a única correção é atualizar para a versão corrigida de cada linha. Não há alternativa indicada para servidores que ainda não possam ser atualizados.

As linhas fora de suporte, incluindo 20.x e 25.x, não recebem correções nesta versão. O projeto afirma que essas versões são sempre afetadas.

O comunicado não relata ataques que tenham explorado as falhas. Também não informa se servidores que atendiam aos requisitos para a falha HTTPS devem substituir suas chaves TLS ou outros segredos após a atualização.

Cinco das falhas, entre elas CVE-2026-123863 e CVE-2026-123864 , foram relatadas por Chris Rohlf em colaboração com Claude e Anthropic Research, segundo o comunicado.

Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...