O projeto Node.js publicou, em 21 de outubro de 2026, um conjunto de correções de segurança que inclui uma falha de severidade alta no decodificador Brotli embutido no módulo nativo node:zlib, identificada como CVE-2026-111497. Segundo o aviso oficial do projeto, uma entrada Brotli malformada pode fazer com que o decodificador escreva dados além do limite de um buffer interno de oito bytes, o que pode causar queda da aplicação, exposição de memória do processo ou, no limite, execução de código. A falha afeta as versões 22.x, 24.x e 26.x do Node.js e foi corrigida nas versões 22.23.4, 24.22.1 e 26.12.1. O mesmo lançamento também corrige outras falhas de severidade alta, incluindo dois contornos de verificação de nome TLS (CVE-2026-105483 e CVE-2026-106069) e um problema de truncamento de nomes com bytes NUL em funções de DNS (CVE-2026-105482). O aviso não informa se alguma das falhas já está sendo explorada ativamente.

Por que isso importa para uma PME brasileira: o Node.js é uma das bases mais usadas para construir sites, lojas virtuais, APIs e sistemas internos — de aplicações feitas sob encomenda a plataformas de e-commerce e ferramentas internas. Qualquer aplicação que receba e descomprima dados Brotli de uma fonte externa (como uploads de arquivos, respostas de APIs de terceiros ou conteúdo enviado por usuários) pode estar exposta, mesmo que ninguém na empresa saiba que a aplicação usa Node.js por trás dos panos — isso normalmente é responsabilidade da agência, do freelancer ou do time de desenvolvimento que manteve o sistema.

O que fazer agora: pergunte à sua agência, freelancer ou equipe de TI se os servidores e aplicações da empresa que usam Node.js já foram atualizados para as versões 22.23.4, 24.22.1 ou 26.12.1 (ou versão mais recente). Se sua empresa mantém algum sistema próprio em Node.js, trate a atualização como prioridade, especialmente se a aplicação processa arquivos ou dados enviados por clientes ou parceiros. Evite manter versões do Node.js fora de suporte (end-of-life), já que elas continuam vulneráveis mesmo depois de lançamentos de segurança como este.

Fonte primária: aviso oficial de segurança do Node.js, 21/10/2026 (CVE-2026-111497 e outras).