Node.js : correctifs de sécurité le 21 octobre

Une alerte sans détail sert surtout à réserver sa fenêtre de déploiement.

Le projet Node.js prévient que des versions de sécurité des lignes 26.x, 24.x et 22.x paraîtront le mercredi 21 octobre 2026 ou peu après, la faille la plus grave étant classée HIGH. Le préavis ne détaille rien ; les versions en fin de vie restent touchées par principe. Le moment de planifier est maintenant.

15 octobre 20261 min de lecturedébutantvidéo 1:24

Ce qui se passe

Le projet Node.js a annoncé le 14 octobre des versions de sécurité pour le mercredi 21 octobre 2026, « ou peu après », sur trois lignes : 26.x, 24.x et 22.x. Dans chacune, la faille la plus grave est classée HIGH. Le préavis ne donne ni identifiants, ni composants, ni description.

Ce que ça change dès aujourd'hui

Les versions en fin de vie sont touchées, par principe, à chaque version de sécurité, et ne recevront rien. Sur une ligne retirée du calendrier officiel (Node 20 et 18 le sont), la seule réponse est de changer de ligne.
Réservez la fenêtre : relevez la version de Node dans vos images Docker, vos pipelines d'intégration et vos fonctions serverless, et prévoyez de reconstruire les images ce jour-là.
Pas d'évaluation possible avant le 21 : l'exposition de votre application ne se lira que dans les avis publiés avec les versions.
La liste nodejs-sec, annonces seulement, prévient des versions de sécurité.

Au même moment

La 24.22.0 « Krypton » (LTS) est sortie le 14 octobre avec util.debounce(), util.throttle(), crypto.parsePKCS12(), une API MAC générique et StatementSync.prototype.close() pour node:sqlite. La 26.12.0 ajoute http.websocketMask() et http.websocketUnmask().

Source : Node.js, « October 2026 Security Releases », 14 octobre 2026 ; notes de la 24.22.0.