{"id":69635,"date":"2026-10-22T19:45:00","date_gmt":"2026-10-22T22:45:00","guid":{"rendered":"https:\/\/jornal24horas.com.br\/?p=69635"},"modified":"2026-10-22T19:45:00","modified_gmt":"2026-10-22T22:45:00","slug":"falha-critica-no-node-js-permite-ataque-cibernetico-e-execucao-remota-de-codigos","status":"publish","type":"post","link":"https:\/\/jornal24horas.com.br\/?p=69635","title":{"rendered":"Falha cr\u00edtica no Node.js permite ataque cibern\u00e9tico e execu\u00e7\u00e3o remota de c\u00f3digos"},"content":{"rendered":"

O <\/b>projeto Node.js<\/b><\/a> lan\u00e7ou, na quarta-feira (21), atualiza\u00e7\u00f5es urgentes para corrigir dez vulnerabilidades em linhas ativas, que correspondem aos pacotes de software que recebem suporte oficial e corre\u00e7\u00f5es constantes dos desenvolvedores. <\/b>O ponto mais cr\u00edtico \u00e9 uma falha no sistema de compacta\u00e7\u00e3o Brotli<\/b><\/a>, uma tecnologia usada para diminuir o tamanho de arquivos e acelerar a transfer\u00eancia de dados na internet.<\/p>\n

Registrada sob o c\u00f3digo CVE-2026-111497<\/a>, a brecha permite, em teoria, a execu\u00e7\u00e3o remota de c\u00f3digo.<\/b> Na pr\u00e1tica, invasores podem tentar rodar comandos maliciosos nos computadores ou servidores afetados. <\/b>As corre\u00e7\u00f5es foram aplicadas nas vers\u00f5es 22.23.4<\/a>, 24.22.1<\/a>e 26.12.1<\/a>.<\/p>\n\n

<\/div>\n

O ecossistema na vers\u00e3o 20.x encerrou o per\u00edodo de suporte oficial<\/b> e, conforme o cronograma do projeto<\/a>, ficou de fora do pacote de corre\u00e7\u00f5es, o que exige a migra\u00e7\u00e3o r\u00e1pida para uma das op\u00e7\u00f5es atualizadas. A descoberta partiu dos pesquisadores Khai Tran e Sylvie Mayer, integrantes do grupo OpenAI Codex Security, segundo os registros oficiais dispon\u00edveis no GitHub do Node.js<\/a>.<\/p>\n

O problema acontece em um c\u00f3digo que j\u00e1 vem embutido no<\/b> Node.js<\/b>. <\/b>Sempre que o sistema processa dados compactados por esse m\u00e9todo, seja ao receber dados de um formul\u00e1rio ou ao buscar arquivos em outro servidor, a rotina vulner\u00e1vel entra em a\u00e7\u00e3o. Assim, aplicativos que lidam com informa\u00e7\u00f5es enviadas por visitantes externos ficam expostos caso utilizem vers\u00f5es desprotegidas.<\/p>\n

Bloqueio de chaves e barreiras de seguran\u00e7a<\/h2>\n

Al\u00e9m da falha de compacta\u00e7\u00e3o, o pacote de seguran\u00e7a soluciona problemas na verifica\u00e7\u00e3o de certificados e falhas secund\u00e1rias como a do undici. <\/b>O projeto tamb\u00e9m inseriu um bloqueio interno para chaves de autoridades certificadoras intermedi\u00e1rias da empresa indiana eMudhra, com a atualiza\u00e7\u00e3o da lista raiz.<\/p>\n

Esses intermedi\u00e1rios funcionam como empresas validadoras que emitem certificados de seguran\u00e7a para sites, e as chaves privadas foram comprometidas neste m\u00eas e exigiram o corte imediato de confian\u00e7a por parte dos softwares.<\/p>\n

A plataforma Vercel<\/b> agiu rapidamente para proteger os clientes. A equipe de seguran\u00e7a da empresa informou, por meio de comunicado oficial<\/a>, que \u201cadicionou regras de firewall que bloqueiam o ataque em solicita\u00e7\u00f5es recebidas\u201d. Apesar das mudan\u00e7as, os respons\u00e1veis ressaltam que essa barreira externa n\u00e3o substitui a atualiza\u00e7\u00e3o do software nos servidores deles.<\/b><\/p>\n\n

<\/div>\n

Integrantes do grupo de lan\u00e7amento do Node.js refor\u00e7am que a prioridade para as equipes de tecnologia \u00e9 a atualiza\u00e7\u00e3o imediata dos ambientes de produ\u00e7\u00e3o. <\/b>Afinal, servidores dedicados e sistemas que ainda rodam vers\u00f5es antigas continuam vulner\u00e1veis at\u00e9 que os administradores apliquem os pacotes mais recentes divulgados pelos mantenedores oficiais.<\/p>\n

Siga o TecMundo<\/b><\/a> no X<\/a>, Instagram<\/a>, Facebook<\/a> e YouTube<\/a> e assine a nossa newsletter<\/a> para receber as principais not\u00edcias e an\u00e1lises diretamente no seu e-mail. <\/p>\n

[[{“value”:”O projeto Node.js lan\u00e7ou, na quarta-feira (21), atualiza\u00e7\u00f5es urgentes para corrigir dez vulnerabilidades em linhas ativas, que correspondem aos pacotes de software que recebem suporte oficial e corre\u00e7\u00f5es constantes dos desenvolvedores. O ponto mais cr\u00edtico \u00e9 uma falha no sistema de compacta\u00e7\u00e3o Brotli, uma tecnologia usada para diminuir o tamanho de arquivos e acelerar a transfer\u00eancia de dados na internet.Registrada sob o c\u00f3digo CVE-2026-111497, a brecha permite, em teoria, a execu\u00e7\u00e3o remota de c\u00f3digo. Na pr\u00e1tica, invasores podem tentar rodar comandos maliciosos nos computadores ou servidores afetados. As corre\u00e7\u00f5es foram aplicadas nas vers\u00f5es 22.23.4, 24.22.1e 26.12.1.<\/p>\n

O ecossistema na vers\u00e3o 20.x encerrou o per\u00edodo de suporte oficial e, conforme o cronograma do projeto, ficou de fora do pacote de corre\u00e7\u00f5es, o que exige a migra\u00e7\u00e3o r\u00e1pida para uma das op\u00e7\u00f5es atualizadas. A descoberta partiu dos pesquisadores Khai Tran e Sylvie Mayer, integrantes do grupo OpenAI Codex Security, segundo os registros oficiais dispon\u00edveis no GitHub do Node.js.O problema acontece em um c\u00f3digo que j\u00e1 vem embutido no Node.js. Sempre que o sistema processa dados compactados por esse m\u00e9todo, seja ao receber dados de um formul\u00e1rio ou ao buscar arquivos em outro servidor, a rotina vulner\u00e1vel entra em a\u00e7\u00e3o. Assim, aplicativos que lidam com informa\u00e7\u00f5es enviadas por visitantes externos ficam expostos caso utilizem vers\u00f5es desprotegidas.Bloqueio de chaves e barreiras de seguran\u00e7a
\nAl\u00e9m da falha de compacta\u00e7\u00e3o, o pacote de seguran\u00e7a soluciona problemas na verifica\u00e7\u00e3o de certificados e falhas secund\u00e1rias como a do undici. O projeto tamb\u00e9m inseriu um bloqueio interno para chaves de autoridades certificadoras intermedi\u00e1rias da empresa indiana eMudhra, com a atualiza\u00e7\u00e3o da lista raiz.Esses intermedi\u00e1rios funcionam como empresas validadoras que emitem certificados de seguran\u00e7a para sites, e as chaves privadas foram comprometidas neste m\u00eas e exigiram o corte imediato de confian\u00e7a por parte dos softwares.A plataforma Vercel agiu rapidamente para proteger os clientes. A equipe de seguran\u00e7a da empresa informou, por meio de comunicado oficial, que \u201cadicionou regras de firewall que bloqueiam o ataque em solicita\u00e7\u00f5es recebidas\u201d. Apesar das mudan\u00e7as, os respons\u00e1veis ressaltam que essa barreira externa n\u00e3o substitui a atualiza\u00e7\u00e3o do software nos servidores deles.<\/p>\n

Integrantes do grupo de lan\u00e7amento do Node.js refor\u00e7am que a prioridade para as equipes de tecnologia \u00e9 a atualiza\u00e7\u00e3o imediata dos ambientes de produ\u00e7\u00e3o. Afinal, servidores dedicados e sistemas que ainda rodam vers\u00f5es antigas continuam vulner\u00e1veis at\u00e9 que os administradores apliquem os pacotes mais recentes divulgados pelos mantenedores oficiais.Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais not\u00edcias e an\u00e1lises diretamente no seu e-mail.”}]]\u00a0\u00a0Ciberseguranca\u00a0Novidades do TecMundo | Estad\u00e3o\u00a0<\/p>","protected":false},"excerpt":{"rendered":"

O projeto Node.js lan\u00e7ou, na quarta-feira (21), atualiza\u00e7\u00f5es urgentes para corrigir dez vulnerabilidades em linhas ativas, que correspondem aos pacotes de software que recebem suporte oficial e corre\u00e7\u00f5es constantes dos desenvolvedores. O ponto mais cr\u00edtico \u00e9 uma falha no sistema de compacta\u00e7\u00e3o Brotli, uma tecnologia usada para diminuir o tamanho de arquivos e acelerar a […]<\/p>\n","protected":false},"author":1,"featured_media":69636,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[15],"tags":[],"class_list":["post-69635","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia"],"_links":{"self":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts\/69635","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=69635"}],"version-history":[{"count":0,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts\/69635\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/media\/69636"}],"wp:attachment":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=69635"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=69635"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=69635"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}