Node.js 26.12.1安全版发布：修TLS/DNS等多枚CVE并更新根证书

Node.js 于2026年10月21日发布 26.12.1（Current） 安全版，由 @aduh95 发布、@RafaelGSS 协助准备。官方明确这是一次安全发布。[1]

Notable Changes 里标为 High 的项包括：[1]

• CVE-2026-106069、CVE-2026-106072（tls）：拒绝非规范（non-canonical）IP 地址，堵住证书校验相关绕法。

• CVE-2026-105482（dns）：校验 resolve 一类输入中的空字节，避免异常字符串进入解析路径。

• CVE-2026-105483（tls）：修复 IP 规范化回归，与上一组 tls 改动配套。

• CVE-2026-111497（deps/brotli）：合入上游 cherry-pick，修复 brotli 相关高危问题。

Medium / Low 还包括：http Agent 数据防护在无 I/O 时也生效（CVE-2026-105481）、crypto 在快照间重置随机缓存（CVE-2026-106074）、zlib 避免缓存无效 ZIP local header（CVE-2026-106070）、permission 模型在 realpathSync 中补检查（CVE-2026-106073）等。[1]

依赖与证书侧：根证书更新到 NSS 3.131.1；tls 会拒绝含被阻断公钥的证书链；c-ares 升到 1.34.9；另有 V8 backport、undici 升到 8.12.2。提交列表里还有一处对「同步加载多数 ES module」相关改动的回滚，以及 Gatekeeper/公证重试等工具链修补。[1]

Windows / macOS / Linux 多架构安装包、二进制与源码均可在发布页下载，文末附 SHA256 清单。跑在 26.x Current 线上的服务，建议按官方安全通告尽快升到 26.12.1；若暂时不能升，至少评估是否暴露在 TLS 校验、DNS resolve、brotli 解压等路径上。CVE 细节以 Node 安全公告与私有 issue 公开摘要为准。

来源

[1] Node.js 26.12.1 (Current)，Node.js Blog，Antoine du Hamel，2026年10月21日。

#Nodejs #安全发布 #CVE #TLS #Current