Vulnerabilidades de Node.js (octubre 2026): qué significan para tu web o app y cómo actualizar

El 21 de octubre de 2026, Node.js publicó una actualización de seguridad que corrige 10 vulnerabilidades, 4 de ellas de severidad alta. Si tu tienda online, tu app, tu panel de administración, tu chatbot o tus automatizaciones corren en un servidor con Node.js, esto te toca, aunque nunca hayas escuchado ese nombre.

En esta guía te explicamos, sin tecnicismos, cómo saber si tu negocio está expuesto, qué versión es segura y qué pedirle a tu proveedor. Al final hay una sección con los comandos para tu equipo técnico y un plan de 30 minutos.

Qué pasó el 21 de octubre de 2026

Node.js es el motor que ejecuta el código de muchísimas webs y aplicaciones del lado del servidor, es decir, en la computadora que procesa pedidos, pagos e inicios de sesión. Cuando sus responsables encuentran fallos de seguridad, publican versiones corregidas para todas las líneas que siguen con soporte.

Esta vez fueron 10 fallos: 4 altos, 3 medios y 3 bajos. El más grave está en el descompresor Brotli, un formato que los servidores usan para enviar datos comprimidos. Con un archivo armado a propósito, un atacante podría llegar a ejecutar su propio código en tu servidor.

Junto con los parches llegaron actualizaciones de piezas internas como OpenSSL (cifrado), c-ares (consultas DNS), Undici (conexiones HTTP) y la lista de certificados de confianza.

¿Tu web o app usa Node.js? Cómo saberlo

No todas las webs usan Node.js en el servidor, y en ese caso esta actualización no te afecta directamente. La forma más rápida de saberlo es preguntarle a quien te hizo el sistema.

Mientras tanto, esta guía rápida te orienta:

Qué riesgo corre tu negocio si no actualizas

El riesgo principal es que alguien tome control de tu servidor o lea información que no debería. En la práctica, eso puede significar:

• Acceso a datos de tus clientes: nombres, teléfonos, direcciones y pedidos.
• Cobros, pedidos o mensajes falsos enviados desde tu propio sistema.
• Tu web caída en el peor momento, o usada para atacar a otros, lo que puede hacer que Google la marque como peligrosa.

Varios de los fallos afectan la verificación de las conexiones seguras (TLS, el candado del navegador). En ciertos casos, tu app podría confiar en un servidor que se hace pasar por otro, por ejemplo por la pasarela de pago o por la API a la que le envías datos.

En la tienda online de Tana Phone, por ejemplo, el servidor calcula el total de cada pedido y procesa los pagos con tarjeta. En sistemas así, mantener el servidor al día no es opcional: es parte de cuidar el dinero y los datos de tus clientes.

Actualizar no es lo difícil. Lo difícil es saber dónde está instalado Node.js en tu negocio.

Versiones seguras de Node.js

La versión segura depende de la línea que uses. Node.js organiza sus versiones en líneas (20, 22, 24, 26), y cada línea recibe parches durante un tiempo limitado.

Las versiones LTS (soporte a largo plazo) son las pensadas para producción. Node 20 dejó de recibir soporte el 30 de abril de 2026, así que no recibió estos arreglos y no recibirá los próximos.

Las 10 vulnerabilidades, explicadas en simple

No necesitas memorizar esta tabla. Sirve para que tu equipo técnico confirme qué fallos aplican a su línea de Node.js.

El de Brotli es el que más importa. El fetch() de Node.js descomprime Brotli de forma automática, así que cualquier app que descargue contenido de sitios que no controla (vistas previas de enlaces, scrapers, nodos HTTP de n8n) está más expuesta.

Qué pedirle a tu proveedor o equipo técnico

No necesitas saber programar para exigir que esto se haga bien. Copia este mensaje y envíalo:

Una buena respuesta incluye:

• La lista de servidores y contenedores, no solo un ya actualicé.
• La versión anterior y la nueva de cada uno.
• La confirmación de que los procesos se reiniciaron y la web sigue funcionando.

Si nadie mantiene tu sistema, o si quien lo hizo ya no responde, ese es el riesgo real. Un sistema sin mantenimiento acumula fallos como este, uno tras otro.

Para tu equipo técnico: cómo actualizar Node.js

Esta parte es para quien administra los servidores. El orden importa: primero revisar, luego actualizar y al final reiniciar y confirmar.

Revisa qué versión tienes

En cada servidor y laptop de desarrollo:

node -v
which node

Los contenedores traen su propio Node.js, aunque el servidor esté al día. Este bucle muestra la versión dentro de cada contenedor en ejecución:

for c in $(docker ps --format '{{.Names}}'); do
  v=$(docker exec "$c" node -v 2>/dev/null) && echo "$c  $v"
done

Si instalaste Node.js con nvm

nvm install 24
nvm alias default 24
node -v

Si te quedas en la línea 22, usa nvm install 22 y confirma que muestra 22.23.4 o superior.

Si instalaste Node.js con apt (NodeSource) en Ubuntu o Debian

sudo apt-get update
sudo apt-get install --only-upgrade nodejs
node -v

Si node -v sigue mostrando Node 20, cambia el repositorio a la línea 24 siguiendo las instrucciones de NodeSource y vuelve a instalar.

Si tu app corre en Docker

Si tu Dockerfile usa una línea, como FROM node:24-alpine, basta con reconstruir descargando la imagen nueva:

docker compose build --pull
docker compose up -d

Si fija una versión exacta, como FROM node:24.21.0-alpine, cámbiala a node:24.22.1-alpine o superior antes de reconstruir.

Si usas n8n en tu propio servidor

La imagen de n8n trae su propio Node.js. Actualiza a la última versión de n8n y confirma la versión dentro del contenedor:

docker compose pull
docker compose up -d
docker exec n8n node -v

Si después de actualizar sigue mostrando una versión vieja, la versión de n8n todavía no incluye el parche. Revisa sus notas de versión y repite cuando salga. Cambia n8n por el nombre de tu contenedor.

Si despliegas en Vercel, Railway, Render, Coolify o similares

En plataformas administradas, el proveedor actualiza su entorno, pero tu app sigue con la versión anterior hasta el próximo despliegue. Confirma en el panel qué versión de Node.js usa tu proyecto y vuelve a desplegar sin caché.

Reinicia lo que ya estaba corriendo

Un proceso que arrancó antes de la actualización sigue usando el Node.js viejo en memoria.

pm2 restart all
# o, si usas systemd:
sudo systemctl restart nombre-de-tu-servicio

Los errores que vemos todo el tiempo

• Creer que npm audit lo cubre: npm audit revisa las dependencias del proyecto, no la versión de Node.js instalada.
• Actualizar el servidor y olvidar los contenedores: cada imagen de Docker trae su propio Node.js.
• Usar docker compose up -d sin reconstruir: si no descargas la imagen nueva con --pull, el contenedor sigue con la vieja.
• Apagar la verificación TLS para salir de un error: NODE_TLS_REJECT_UNAUTHORIZED=0 o rejectUnauthorized: false en producción deja la puerta abierta justo a los fallos que este parche corrige.
• Seguir en Node 20 porque funciona: funciona, pero ya no recibe parches de seguridad.
• No reiniciar: sin reinicio, la actualización no tiene efecto.

Plan de 30 minutos

1. Minutos 0 a 5: ejecuta node -v en cada servidor y el bucle de contenedores. Anota qué hay que actualizar.
2. Minutos 5 a 10: actualiza Node.js en servidores y laptops con nvm o apt.
3. Minutos 10 a 20: reconstruye tus imágenes de Docker con --pull y actualiza n8n.
4. Minutos 20 a 25: vuelve a desplegar en Vercel, Railway o la plataforma que uses, sin caché.
5. Minutos 25 a 30: reinicia los procesos, repite la revisión y prueba que la web, los pagos y los formularios funcionen.

Preguntas frecuentes

¿Cómo sé qué versión de Node.js tengo?

Ejecuta node -v en la terminal del servidor. Si tu app corre en Docker, revisa dentro de cada contenedor con docker exec, porque puede tener una versión distinta a la del servidor.

¿Qué versión de Node.js debo usar en 2026?

Para producción, Node 24 LTS, en la versión 24.22.1 o superior. Node 22 sigue con soporte de mantenimiento. Node 26 es la más nueva, pero todavía no es LTS.

¿Node 20 sigue siendo seguro?

No. Node 20 llegó al fin de su soporte el 30 de abril de 2026 y no recibió los parches de octubre. Hay que migrar a Node 24.

¿Mi web en WordPress está afectada?

WordPress funciona con PHP, no con Node.js, así que esta actualización no le aplica directamente. Revisa de todos modos si tienes servicios aparte, como un chatbot o automatizaciones, que sí usen Node.js.

¿Actualizar Node.js puede romper mi web?

Dentro de la misma línea (por ejemplo, de 24.21 a 24.22.1), el riesgo es bajo. Cambiar de línea, como de Node 20 a Node 24, sí requiere probar la app antes de publicarla.

---

Qué hacer ahora

1. Pregunta hoy a tu proveedor si tu negocio usa Node.js y en qué versión, con el mensaje de esta guía.
2. Actualiza o pide la actualización a 24.22.1, 22.23.4 o 26.12.1, y confirma que se reiniciaron los procesos.
3. Planifica la migración si sigues en Node 20 o anterior.
4. Revisa el resto de tu web: velocidad, seguridad y confianza pesan tanto como el servidor. Te lo explicamos en 7 señales de que tu web te está haciendo perder clientes.

Si no tienes quién mantenga tu sistema, escríbenos: revisamos qué versión de Node.js usa y qué hay que actualizar. Desarrollamos aplicaciones web a la medida y automatizaciones con n8n para empresas de cualquier país, con soporte después de la entrega.

Recursos

• Boletín oficial de seguridad de Node.js, octubre 2026
• Versiones de Node.js y su estado de soporte
• Calendario de versiones de Node.js
• Imágenes oficiales de Node.js en Docker Hub
• Notas de versión de n8n