21 октября 2026 года проект Node.js выпустил три обновления безопасности: 26.12.1 в ветке Current, 24.22.1 и 22.23.4 в LTS. На Mentoring.digital объясняем, почему проверить нужно саму среду выполнения, включая контейнеры и CI, а не только package-lock.json.
Какие компоненты затронуты
В журналах всех трёх выпусков есть исправления отклонения неканонических IP-адресов в TLS, проверки нулевых байтов во входных данных DNS и обновление Brotli с исправлением безопасности. Для этих изменений указана высокая серьёзность. Кроме того, перечислены изменения HTTP agent, сброса кэша случайных значений при работе со снимками и проверки permission model в realpathSync.
Списки веток не полностью одинаковы. Например, в 26.12.1 и 24.22.1 отдельно указан откат регрессии нормализации IP в TLS. Поэтому при анализе конкретного приложения нужно читать журнал своей ветки, а не считать все патчи взаимозаменяемыми.
Как выбрать обновление
Для приложения на поддерживаемой LTS-ветке разумная исходная проверка состоит в установке исправляющего выпуска этой ветки. Переход на Current ради одного патча одновременно меняет больше условий и требует отдельной оценки совместимости. Статус Current не означает, что выпуск автоматически предпочтительнее для любого рабочего сервиса.
Обновление npm-зависимостей не заменяет Node.js. Проверьте версию внутри работающего контейнера, на runner, в окружении сборки и у фоновых процессов. Локальная команда node --version сообщает версию только того бинарного файла, который найден в текущем окружении.
Что повторить после развёртывания
Редакционная рекомендация: включить в проверку исходящие HTTPS-запросы, разрешение имён, интеграции с внешними API и используемые способы сжатия. Запишите фактическую версию нового образа и убедитесь, что старые экземпляры приложения заменены. Проверка одного нового контейнера не подтверждает обновление всех реплик.
Если после перехода меняется работа соединений, сохраняйте безопасный диагностический пример без ключей и персональных данных. Совместимость клиента, TLS и окружения можно разобрать с наставником по Node.js. Редакция не проводила собственных испытаний этих выпусков на пользовательских приложениях.
