Node.js anunció que el miércoles 21 de octubre de 2026, o poco después, publicará actualizaciones de seguridad para sus ramas 26, 24 y 22, con al menos un fallo de gravedad alta en cada una. Afecta a las webs y aplicaciones que corren sobre Node.js, entre ellas muchas hechas con frameworks como Next.js. Las ramas sin soporte no tendrán arreglo.
Lo que se sabe
- El aviso: la página oficial de Node.js, actualizada el 14 de octubre de 2026, dice que las versiones nuevas estarán disponibles el 21 de octubre «o poco después». No da hora.
- Qué ramas: 26.x, 24.x y 22.x. En las tres, el fallo más grave que se corrige es de gravedad alta («HIGH»), según el aviso.
- Lo que todavía no se sabe: cuántos fallos son, sus identificadores CVE, a qué partes de Node.js afectan y qué números de versión los corrigen. El aviso no los da.
- Las ramas sin soporte: el aviso recuerda que las versiones en fin de vida siempre están afectadas cuando hay una publicación de seguridad. Según el calendario oficial de Node.js, la rama 20 llegó al fin de vida el 30 de abril de 2026 y la 18, el 30 de abril de 2025; las ramas impares 23 y 25 tampoco tienen soporte. No recibirán estos arreglos.
- El calendario de cada rama: la 22 está en mantenimiento hasta el 30 de abril de 2027; la 24 pasa de soporte activo a mantenimiento el 20 de octubre de 2026; la 26 es la rama actual y pasa a soporte de largo plazo (LTS) el 28 de octubre de 2026.
- Versiones de hoy: la página muestra la 24.22.0 como último LTS y la 26.12.0 como última versión. No dice que traigan estos arreglos.
Qué cambia y qué no
Cambia la agenda: hay una fecha fija para actualizar y casi una semana para prepararse. Hoy no hay nada que instalar todavía, y el aviso no dice que estos fallos se estén aprovechando.
No afecta a las webs hechas solo con PHP, como la mayoría de las de WordPress o Drupal, salvo que su servidor use Node.js para otra tarea. Lo urgente es lo que corre en un servidor expuesto a internet; las herramientas que solo se usan en el ordenador de quien desarrolla también conviene actualizarlas, pero con menos prisa.
Cómo saber si te afecta
- Mira tu versión. En el servidor o en la carpeta del proyecto, ejecuta `node -v`. Si empieza por v22, v24 o v26, tendrás parche el 21. Si empieza por v20, v18 o por un número impar, no lo tendrás: toca cambiar de rama.
- Si estás en una rama sin soporte, usa estos días para pasar a la 22 o a la 24 y probar la web en un entorno de pruebas antes de cambiar la de producción. Así el 21 solo tendrás que aplicar el parche.
- En hosting con panel, algunos proveedores tienen una sección para aplicaciones Node.js donde se elige la versión. Si no la ves, pregunta a tu proveedor qué versión usa tu web y si aplicará el parche el 21.
- En plataformas como Vercel o Netlify, la versión de Node.js se fija en la configuración del proyecto. Revisa cuál tienes y que no sea una rama sin soporte.
- El 21 de octubre, revisa el blog de seguridad de Node.js, instala la versión corregida de tu rama y reinicia la aplicación: el proceso viejo sigue funcionando hasta que se reinicia.
- Si la web la mantiene otra persona o una agencia, pregúntale hoy qué versión de Node.js usa y cuándo aplicará el parche.
Relacionado: Next.js: dos fallos críticos, actualiza a 16.4.1 o 15.5.28
Fuentes
- Node.js, «Wednesday, October 21, 2026 Security Releases» (en inglés)
- Node.js, calendario de versiones (en inglés)
Actualizaciones: cuando Node.js publique las versiones corregidas y los detalles de los fallos, se añadirán aquí con su enlace.