Node.js: parche de seguridad alto el 11 de noviembre

Node.js anunció que el miércoles 11 de noviembre de 2026, o poco después, publicará actualizaciones de seguridad para sus ramas 26, 24 y 22, con al menos un fallo de gravedad alta en cada una. Afecta a las webs y aplicaciones que corren sobre Node.js. Las ramas en fin de vida, como la 20, no recibirán el arreglo.

Lo que se sabe

El aviso: la página oficial de Node.js, publicada el 3 de noviembre de 2026, dice que las versiones nuevas de las ramas 26.x, 24.x y 22.x estarán disponibles el 11 de noviembre «o poco después». No da hora.
La gravedad: en las tres ramas, el fallo más grave que se corrige es de gravedad alta («HIGH»), según el aviso. El mismo preaviso se envió el 4 de noviembre a la lista pública de seguridad oss-security.
Lo que todavía no se sabe: cuántos fallos son, sus identificadores CVE, a qué partes de Node.js afectan y qué números de versión los corrigen. El aviso no lo dice.
Es la segunda tanda en tres semanas: el 21 de octubre Node.js publicó las versiones 26.12.1, 24.22.1 y 22.23.4, que corregían 10 fallos (4 de gravedad alta, 3 media y 3 baja), según su página de seguridad de octubre.
Las ramas sin soporte: el aviso recuerda que las versiones en fin de vida siempre están afectadas cuando hay una publicación de seguridad. Según el calendario oficial de Node.js, la rama 20 llegó al fin de vida el 30 de abril de 2026 y la 25, el 1 de junio de 2026. No recibirán estos arreglos.
Hasta cuándo dura cada rama: la 22 tiene soporte hasta el 30 de abril de 2027; la 24, hasta el 30 de abril de 2028; la 26, hasta el 30 de abril de 2029. El propio calendario avisa de que las fechas pueden cambiar.

Qué cambia y qué no

Cambia la agenda: hay una fecha fija para actualizar y tres días para prepararse. Hoy no hay nada que instalar todavía, y el aviso no dice que estos fallos se estén aprovechando.

No afecta a las webs hechas solo con PHP, como la mayoría de las de WordPress o Drupal, salvo que su servidor use Node.js para otra tarea. Lo urgente es lo que corre en un servidor expuesto a internet; las herramientas que solo se usan en el ordenador de quien desarrolla también conviene actualizarlas, con menos prisa.

Cómo saber si te afecta

Mira tu versión. En el servidor o en la carpeta del proyecto, ejecuta `node -v`. Si empieza por v22, v24 o v26, tendrás parche el 11. Si empieza por v20, v18 o por un número impar, no lo tendrás: toca cambiar de rama.
Comprueba si te saltaste el parche de octubre. Si tu versión es anterior a 26.12.1, 24.22.1 o 22.23.4, llevas un parche de retraso. Ponte al día dentro de tu rama esta semana: el miércoles el salto será menor y sabrás que la web funciona con la versión de octubre.
Si estás en una rama sin soporte, usa estos días para pasar a la 24 o a la 26 y probar la web en un entorno de pruebas antes de cambiar la de producción.
En hosting con panel, algunos proveedores tienen una sección para aplicaciones Node.js donde se elige la versión. Si no la ves, pregunta a tu proveedor qué versión usa tu web y cuándo aplicará el parche.
En plataformas en la nube, la rama de Node.js se fija en la configuración del proyecto. Revisa cuál tienes y que no sea una rama sin soporte.
Si la web corre en un contenedor, la versión la fija la imagen base. Tras el parche hay que reconstruir la imagen y volver a desplegarla; reiniciar el contenedor viejo no basta.
El 11 de noviembre, revisa el blog de seguridad de Node.js, instala la versión corregida de tu rama y reinicia la aplicación: el proceso viejo sigue funcionando hasta que se reinicia.
Si la web la mantiene otra persona o una agencia, pregúntale hoy qué versión de Node.js usa, si aplicó el parche de octubre y cuándo aplicará el del 11.

Relacionado: Node.js: parche de seguridad alto el 21 de octubre

Fuentes

Actualizaciones: cuando Node.js publique las versiones corregidas y los detalles de los fallos, se añadirán aquí con su enlace.