Node.js opravuje 16 chyb: vzdálený pád serverů s HTTP/2 a únik paměti jiných spojení přes HTTPS

Co se stalo

Projekt Node.js vydal 11. listopadu 2026 bezpečnostní aktualizace pro tři podporované větve: v26.13.1, v24.22.3 a v22.23.5. Opravují 16 zranitelností – podle hodnocení Node.js 7 vysokých, 6 středních a 3 nízké. Předchozí bezpečnostní vydání vyšlo 21. října 2026.

Většina chyb je ve vestavěné podpoře HTTP/2 (modul node:http2) a v TLS. Nejčastější dopad je vzdálený pád serveru bez přihlášení, u několika chyb ale i únik paměti – server pošle klientovi kusy paměti, které patří jiným spojením. Vydání zároveň aktualizuje přibalené knihovny llhttp (všechny tři větve), undici (24 a 26) a SQLite (22 a 24).

Pět chyb nahlásil Chris Rohlf ve spolupráci s Claude a Anthropic Research, další výzkumníci a Trail of Bits. NVD záznamy zveřejnila 11. 11. 2026 večer se stavem Received a skóre CVSS 3.0 od přidělující autority (CNA).

Technické podrobnosti

Nejvážnější chyby s vysokou závažností:

• CVE-2026-123864 je chyba opětovného vstupu (re-entrancy) při zpracování těla požadavku přes HTTPS: zápis nulové délky způsobí předčasné dešifrování záznamu TLS, použití uvolněné paměti a čtení mimo hranice haldy. Podle Node.js je ale potřeba souhra podmínek – obslužná funkce volá res.flushHeaders() před koncem těla požadavku, potom res.end() s neprázdnými daty, a aplikace má cestu, která tělo požadavku vrací nebo ukládá. Nešifrovaný node:http zasažený není.
• CVE-2026-123863 je varianta starší chyby CVE-2024-27983, kterou tehdejší oprava nepokryla. Proud HTTP/2, který ještě drží buffery hlaviček, přežije svou relaci a kontrola účtování paměti proces ukončí. Útočník nepotřebuje přihlášení a funguje to přes TLS i nešifrované HTTP/2.
• CVE-2026-123872: při renegociaci TLS 1.2 může klient změnit název serveru (SNI) a přenést si ověření na hostitele s přísnějšími požadavky na klientský certifikát.
• Další vysoké chyby v HTTP/2 vedou k použití uvolněné paměti (CVE-2026-123866, CVE-2026-123874 – stačí, že server posílá soubory přes respondWithFile() nebo respondWithFD()) nebo k postupnému vyčerpání paměti a deskriptorů (CVE-2026-123865, neúplná oprava CVE-2026-48937).

Mezi středními chybami je i obejití ověření certifikátu v https.Agent při opakovaném použití relace TLS (CVE-2026-123877), selhání per-host CA u server.addContext() (CVE-2026-123867) a únik přihlašovacích údajů k proxy v chybových hláškách (CVE-2026-123871). Ukázkový kód Node.js nezveřejnil a my ho nepřinášíme.

Koho se to týká

• Node.js 26.x před 26.13.1, 24.x před 24.22.3 a 22.x před 22.23.5. Některé chyby (např. CVE-2026-123863, CVE-2026-123874) se týkají jen 24 a 26.
• Nejvíc ohrožené jsou servery, které samy obsluhují HTTP/2 nebo HTTPS – http2.createSecureServer(), http2.createServer(), https.createServer() – a jsou dostupné z internetu.
• Verze s ukončenou podporou jsou podle Node.js zasažené vždy a opravu nedostanou.

Verzi a použití HTTP/2 rychle zjistíte takto:

node -v
grep -rnE "createSecureServer|http2\.createServer|respondWithFile|flushHeaders" --include=*.js --include=*.ts --exclude-dir=node_modules .

Node.js v Dockeru má verzi danou obrazem – zkontrolujte tag (node:24, node:22-alpine…) a obraz znovu stáhněte a sestavte. U balíčků z distribuce se řiďte jejím bezpečnostním oznámením.

Jak poznat napadení

Node.js indikátory napadení nezveřejnil a o zneužívání nepíše. Pár tipů z praxe:

• Opakované pády procesu s hláškami o selhání kontroly (CHECK_EQ, ERR_INTERNAL_ASSERTION) nebo restarty od správce procesů (pm2, systemd, Kubernetes) – hlavně ve spojení s provozem HTTP/2.
• Rostoucí počet socketů v CLOSE_WAIT a spotřeba paměti: ss -tan state close-wait | wc -l.
• U CVE-2026-123864 únik paměti v logu nepoznáte. Pokud vaše aplikace splňuje popsané podmínky a byla přímo dostupná přes HTTPS, počítejte s možností úniku dat.
• Podezřelé IP adresy z logů rychle vytáhnete naším extraktorem IOC – běží jen ve vašem prohlížeči.

Co udělat

1. Aktualizujte na Node.js 26.13.1, 24.22.3 nebo 22.23.5 (nebo opravený balíček distribuce) a restartujte všechny procesy – běžící aplikace zůstávají zranitelné, dokud se nerestartují. U kontejnerů obrazy znovu sestavte.
2. Ověřte verzi příkazem node -v přímo v produkčním prostředí.
3. Pokud aplikace splňuje podmínky CVE-2026-123864 (HTTPS přímo v Node.js, res.flushHeaders() před koncem těla, cesta vracející tělo požadavku), po aktualizaci vyměňte klíč TLS a nechte vydat nový certifikát. To je naše doporučení, ne pokyn Node.js.
4. Dokud aktualizaci nenasadíte, je rozumné nechat HTTPS a HTTP/2 ukončovat reverzní proxy (nginx, HAProxy, CDN) a do Node.js posílat jen HTTP/1.1. Také to je naše odvození z popisu chyb – Node.js dočasná řešení neuvádí.
5. Používáte mTLS (klientské certifikáty)? Zkontrolujte nastavení server.addContext() a vypnutí renegociace TLS 1.2 – týkají se vás CVE-2026-123872 a CVE-2026-123867.

Časová osa

Aktualizace

• 12. 11. 2026 – první verze článku.