世界本是个草台班子~
PHP 漏洞、Node.js 漏洞,xx漏洞都一个鸟样。
可能漏洞存在数十年没有被人发现,而AI基于人类十年的经验,没一会功夫就可以发现它。
这样的事儿绝不仅仅存在互联网之上仅此而已。
Los que se reían de PHP esta mañana, revisad vuestro Node.js.
Node.js ha parcheado hoy 4 vulnerabilidades de gravedad alta. El mismo día que PHP. Aquí no se libra nadie.
La más grave, CVE-2026-111497, está en el decodificador Brotli y, según Node.js, permite ejecutar código en remoto.
Pero la que más me preocupa es otra: dos fallos permitían saltarse la comprobación del nombre de host en TLS.
Tu aplicación puede dar por bueno un certificado que no es del servidor con el que habla.
El candado sigue ahí, pero ya no garantiza nada.
Si tienes algo en Node.js:
➡️ Ejecuta node -v. Si es anterior a la v22.23.4, la v24.22.1 o la v26.12.1, actualiza
➡️ Si despliegas con Docker, reconstruye la imagen. Actualizar tu equipo no cambia lo que está en producción
➡️ Si sigues en Node.js 18 o 20, no hay parche para ti: toca migrar