Node.js: RCE critica nel decoder Brotli, CloudLinux aggiorna i pacchetti alt-nodejs

Node.js ha pubblicato il 21 ottobre 2026 le versioni v22.23.4, v24.22.1 e v26.12.1, che correggono 10 vulnerabilità. Per chi gestisce hosting condiviso su CloudLinux la notizia che conta non è la release upstream, ma il rilascio dei pacchetti alt-nodejs: il 21 ottobre 2026 il progetto Node.js ha pubblicato release di sicurezza per le linee 22.x, 24.x e 26.x (v22.23.4, v24.22.1, v26.12.1), ma su CloudLinux il fix arriva solo quando quei pacchetti vengono ricompilati e installati.

La falla più grave: Brotli out-of-bounds write

Un difetto in Node.js può causare una scrittura fuori limite nel decoder Brotli che permette l'esecuzione di codice remoto (CVE-2026-111497). Non è un bug di laboratorio: la falla di decompressione Brotli abilita l'esecuzione di codice remoto ed è facile da innescare perché fetch() ed Express 5 decomprimono automaticamente le risposte Brotli. Su CloudLinux, aggiornare il pacchetto brotli di sistema non serve: le build alt-nodejs portano una copia propria della libreria, quindi solo il pacchetto alt-nodejs aggiornato chiude il problema.

In totale le 10 CVE toccano HTTP, DNS, TLS, crypto e il modello dei permessi:

CVE	Problema	Gravità	Linee affette
CVE-2026-111497	Brotli decoder, scrittura fuori limite, RCE	Alta	26.x, 24.x, 22.x
CVE-2026-105482	dns.resolve tronca nomi con carattere NUL	Alta	26.x, 24.x, 22.x
CVE-2026-105483	Bypass hostname TLS con cifre fullwidth	Alta	26.x, 24.x
CVE-2026-106069	Bypass hostname TLS su host che risolve a IP	Alta	26.x, 24.x, 22.x
CVE-2026-105481	Socket keep-alive elabora risposta pre-richiesta	Media	26.x, 24.x, 22.x
CVE-2026-106072	Validazione certificati IPv4 non canonici	Media	26.x, 24.x, 22.x
CVE-2026-106074	Cache entropia randomUUID/randomInt in snapshot	Media	26.x, 24.x, 22.x
CVE-2026-106070	ZipFile restituisce byte dopo header ZIP invalido	Bassa	26.x
CVE-2026-106071	Permission Model, over-grant filesystem	Bassa	26.x
CVE-2026-106073	Permission Model, bypass con fs.realpathSync	Bassa	26.x, 24.x, 22.x

Cosa cambia su un server CloudLinux

Le versioni end-of-life restano colpite: Node.js avverte che le linee fuori supporto sono sempre interessate dai security release, e CloudLinux le ripacchettizza comunque. Dopo l'update, le app restano sul binario vecchio finché non vengono riavviate:

rpm -qa 'alt-nodejs*'
yum update 'alt-nodejs*'
cloudlinux-selector restart --json --interpreter nodejs --user <user> --app-root <app_root>

Per le linee end-of-life node --version non cambia dopo l'update: va controllata la release del pacchetto con rpm -q alt-nodejs16 e confrontata con il minimo fisso.

Pacchetto	Release minima corretta
alt-nodejs12	35
alt-nodejs14	37
alt-nodejs16	33
alt-nodejs18	26
alt-nodejs20	15
alt-nodejs22	2
alt-nodejs23	23
alt-nodejs24	2
alt-nodejs26	1

Non esiste un workaround documentato per la CVE-2026-111497. In attesa del pacchetto per la propria linea, l'unica mitigazione pratica è evitare di far decodificare al servizio dati Brotli provenienti da fonti non controllate. Gli avvisi di rilascio sono pubblicati sulla status page di CloudLinux.