Node.js octombrie 2026: bypass-uri TLS la hostname și ce actualizezi pe VPS

Runda de securitate Node.js din 21 octombrie 2026 include, pe lângă Brotli și DNS, mai multe remedieri HIGH la verificarea numelui în TLS. Acestea merită o verificare separată pe VPS-urile care fac conexiuni HTTPS ieșitoare sau validează certificate programatic.

Ce CVE-uri TLS sunt documentate

• CVE-2026-105483 — bypass când IP-ul este scris cu cifre fullwidth (afectează 26.x și 24.x).
• CVE-2026-106069 — validare pe o altă adresă decât cea conectată, la literali IPv4 non-canonici cu zero la început.
• CVE-2026-106072 — DNS SAN acceptat pentru endpoint IP când hostname-ul are scrieri non-canonice (octal, hex etc.).

Anunțul oficial listează și actualizări de dependențe: c-ares, ca-cert (incident eMudhra), OpenSSL, SQLite și Undici, în funcție de ramură.

Versiuni remediate

Actualizează la 22.23.4, 24.22.1 sau 26.12.1.

node --version
node -p "process.versions"
command -v node

Confirmă executabilul folosit de serviciu sau container, apoi repornește procesele.

Ce verifici în aplicație

1. Conexiuni HTTPS către IP-uri sau hostname-uri construite din input utilizator.
2. Apeluri la tls.checkServerIdentity sau biblioteci care o folosesc.
3. Proxy-uri, health-check-uri și agenți HTTP keep-alive (inclusiv CVE-2026-105481, severitate medium).

Nu trata absența unui crash drept dovadă că runtime-ul este actualizat. Verifică numărul de versiune din procesul activ.

Pentru aplicații pe XSERVERE, notează ramura Node.js, data upgrade-ului și serviciile repornite după release-ul din 21 octombrie 2026.