Source · 73 jours de veille
Ce qui a été retenu de cette source, et sur quels thèmes. Chaque fiche est une synthèse originale et renvoie à l'article d'origine.
Node.js 26.12.1, 24.22.1 (LTS) et 22.23.4 (LTS) corrigent huit CVE, dont cinq classées hautes (TLS, dns, brotli), et embarquent OpenSSL 3.5.9, undici 7.30.1 et les certificats racine NSS 3.131.1. Les notes ne décrivent pas d'exploitation : l'urgence vient de la largeur du périmètre, les trois lignes actives étant touchées.
Le projet Node.js prévient que des versions de sécurité des lignes 26.x, 24.x et 22.x paraîtront le mercredi 21 octobre 2026 ou peu après, la faille la plus grave étant classée HIGH. Le préavis ne détaille rien ; les versions en fin de vie restent touchées par principe. Le moment de planifier est maintenant.
Node.js 26.9.0 active la FFI par défaut : appeler une bibliothèque C depuis JavaScript ne demande plus d'addon natif ni de drapeau. La même version fait entrer un module `node:bench` complet dans le cœur, avec CLI et reporters, et ajoute un système de fichiers virtuel branché sur les chargeurs CJS et ESM, capable de lire dans un zip.
Node.js 24.21.0 « Krypton » est sortie le 8 septembre sur la branche LTS, avec quatre ajouts SEMVER-MINOR et une montée de dépendances. Les plus utiles au quotidien : un MIMEType.parse qui ne lève plus d'exception sur une entrée invalide, et une net.BlockList réécrite pour être plus rapide. Côté dépendances, OpenSSL passe en 3.5.8, Undici en 7.29.1 et les certificats racines suivent NSS 3.126.
veilletech.fr