Se o site, a loja virtual ou o sistema da sua empresa roda em Node.js, Next.js ou Bun, há uma atualização para colocar na agenda desta semana. O Node.js publicou em 21 de outubro de 2026 versões que corrigem a CVE-2026-111497, uma falha no descompactador Brotli que, com um arquivo compactado malformado, pode travar o servidor, vazar memória ou permitir execução remota de código. Em 24/10, o site especializado THN mostrou que o mesmo defeito atinge Bun, a biblioteca Brotli do Python, Envoy e Istio.
Não há ataque confirmado até agora. A correção, por outro lado, já existe, e é o tipo de atualização que costuma ficar para depois justamente porque "o site está funcionando".
O que é a falha
Brotli é um formato de compressão usado na web para deixar páginas e respostas de API mais leves. O Node.js traz um decodificador Brotli embutido, acessado pelo módulo node:zlib.
Segundo o aviso oficial do Node.js, uma entrada compactada malformada consegue escrever além do fim de um buffer interno do decodificador. O texto explica que um tipo de erro de formato era tratado como "falta de dados" em vez de erro definitivo, e o decodificador seguia empilhando bytes num espaço de oito bytes. O Node.js classifica a falha como de gravidade alta e diz que ela afeta as linhas 22.x, 24.x e 26.x.
De acordo com o THN, o Google deu nota 9,2 (crítica, na escala CVSS 4.0) e a Red Hat, 8,1. A falha foi reportada por Khai Tran e Sylvie Mayer, do time Codex Security da OpenAI, segundo o aviso do Node.js.
Quem precisa atualizar
O aviso de 21/10 lista as versões corrigidas:
- Node.js 22.23.4 (linha 22.x);
- Node.js 24.22.1 (linha 24.x, a LTS atual);
- Node.js 26.12.1 (linha 26.x).
O mesmo pacote corrige outras nove falhas (três altas, três médias e três baixas) e remove um certificado intermediário da eMudhra que foi comprometido.
Fora do Node.js, segundo o THN, as versões corrigidas são: Bun 1.4.4, Brotli para Python 1.2.1, brotlicffi 1.2.1.0 e a biblioteca Brotli em C 1.0.10, 1.1.1 ou 1.2.1. Envoy e Istio, usados em infraestrutura maior, também receberam correção.
Já está sendo explorada?
Não há exploração confirmada. Segundo o THN, a avaliação da CISA de 23/10 marca a exploração como "nenhuma", e a Red Hat diz não haver prova de conceito pública confiável. A empresa de segurança Imperva relatou ter executado código num Node.js 24.22.0 em Linux ARM64, mas não publicou o método.
Esse é o intervalo bom para corrigir: a falha é pública, a correção também, e ainda não há receita pronta circulando. Quando aparecer, quem ficou para trás vira o alvo fácil.
O que fazer agora
- Descubra o que roda no seu servidor. Pergunte a quem cuida do site ou rode `node -v` no servidor. Loja em Next.js, painel em Express ou API própria quase sempre usam Node.js.
- Atualize para a versão corrigida da sua linha: 22.23.4, 24.22.1 ou 26.12.1.
- Saia do Node.js 20 ou anterior. Sem atualização oficial, a falha fica aberta.
- Usa Bun? Atualize para 1.4.4. Usa Python com a biblioteca brotli? Vá para 1.2.1.
- Confira a hospedagem. Em plataformas gerenciadas, veja no painel a versão do Node.js usada no build e no servidor; algumas exigem nova publicação para trocar.
- Teste depois da troca. Checkout, login, formulários e integrações de pagamento.
O que ainda não se sabe
As notas 9,2 e 8,1 e a lista de versões fora do Node.js vêm do THN; não conferimos as páginas do Google e da Red Hat. Não se sabe se as hospedagens brasileiras já atualizaram os ambientes gerenciados. A falha não está no catálogo de vulnerabilidades exploradas da CISA.
Onde a Oneck entra
Atualizar o Node.js parece simples até quebrar uma dependência antiga no meio da Black Friday. A frente de Software & Sistemas da Oneck Creative desenvolve e mantém sistemas web com rotina de atualização, ambiente de teste e revisão do que está exposto na internet. Se você não sabe em que versão o seu sistema roda, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: Node.js: atualizações de segurança de outubro de 2026 (21/10/2026); THN: falha no decodificador Brotli por trás do RCE do Node.js atinge outros projetos (24/10/2026); Bun 1.4.4.
