Important Node.js Security Update
On 21 October 2026, the Node.js project released security updates for the 22.x, 24.x and 26.x release lines to address multiple security vulnerabilities affecting the JavaScript runtime and its dependencies.
The vulnerabilities range from high to low severity, with the highest severity rated High by the Node.js project.
What were the security issues?
The October security release addressed several important issues:
1. Remote code execution through the Brotli decoder — CVE-2026-111497
An out-of-bounds memory write in the Brotli decoder could potentially allow remote code execution when vulnerable code paths are reached. This is one of the high-severity issues addressed in the release.
2. DNS input validation — CVE-2026-105482
The dns.resolve() function could truncate hostnames containing a null character. Incorrect input handling can create security risks when applications rely on DNS results for security-sensitive decisions.
3. TLS certificate hostname validation — CVE-2026-105483 and CVE-2026-106069
Issues in hostname and IP-address validation could allow certificate hostname checks to be bypassed in certain circumstances, potentially weakening the security of encrypted connections.
4. HTTP keep-alive handling — CVE-2026-105481
A flaw in HTTP connection handling could cause a keep-alive socket to process a response written before the corresponding request was sent.
5. Additional security weaknesses
The release also addressed improper certificate validation, cryptographic randomness being repeated across certain startup snapshots, ZIP header validation, and permission-model weaknesses.
These issues could have different effects depending on the application and its configuration, including remote code execution, weakened connection security, unexpected request handling and access-control bypasses.
Official advisory: https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
Fixed Node.js Versions
The Node.js project published the following security releases on 21 October 2026:
Release line Fixed version Support status
Node.js 22.x 22.23.4 Maintenance LTS
Node.js 24.x 24.22.1 Active LTS
Node.js 26.x 26.12.1 Current
Applications using affected release lines should be updated to the appropriate fixed version, subject to application compatibility and the official release guidance.
360teem IT Solution Has Updated Its Node.js Versions
At 360teem IT Solution, maintaining secure and reliable hosting infrastructure is a priority.
Following the October 2026 Node.js security release, we have successfully updated the Node.js versions across our servers as part of our ongoing security maintenance.
Our objective is to address known vulnerabilities promptly, maintain supported software and reduce the risks associated with outdated server components.
This server-side maintenance does not necessarily mean every customer application or third-party dependency is automatically secure. Application code, npm packages, configuration and access controls must also be maintained appropriately.
Our Policy on End-of-Life Node.js Versions
We are committed to moving away from Node.js versions that have reached End of Life (EOL) and no longer receive official updates from the Node.js project.
Once a release line reaches EOL, it no longer receives upstream security patches. Continuing to use it may leave applications exposed to vulnerabilities that will not be fixed by the official project.
Node.js EOL dates
The following major release lines have reached EOL:
Node.js version Official EOL date
25.x 1 June 2026
23.x 1 June 2025
21.x 1 June 2024
20.x 30 April 2026
19.x 1 June 2023
18.x 30 April 2025
17.x 1 June 2022
16.x 11 September 2023
15.x 1 June 2021
14.x 30 April 2023
13.x 1 June 2020
12.x 30 April 2022
11.x 1 June 2019
10.x 30 April 2021
9.x 1 June 2018
8.x 31 December 2019
7.x 1 June 2017
6.x 30 April 2019
5.x 1 June 2016
4.x 30 April 2018
0.x 22 February 2017
The Node.js project may distinguish a release’s final update date from its formally scheduled EOL date. Consult the official release schedule for the authoritative lifecycle status and dates.
Official references:
https://nodejs.org/en/about/eol
https://github.com/nodejs/Release
We recommend using an actively supported LTS release for production applications wherever possible. Customers running older versions should plan a compatibility review and migration to a supported release.
What Should Our Hosting Clients Do?
We recommend that customers:
Keep Node.js applications and npm dependencies updated.
Use supported Node.js versions compatible with their applications.
Remove unused packages and review dependencies for known vulnerabilities.
Maintain regular backups and strong access controls.
Contact our support team if their application requires an older Node.js version.
Our Commitment to Security
We believe reliable hosting requires more than keeping applications online. It requires responsible server maintenance, timely security updates and a clear policy for unsupported software.
Our team will continue working to maintain our hosting infrastructure and reduce risks associated with known software vulnerabilities.
Your website matters to us. Security remains our priority.
Node.js-এর সর্বশেষ নিরাপত্তা সমস্যা কী ছিল?
২১ অক্টোবর ২০২৬ তারিখে Node.js প্রকল্প 22.x, 24.x এবং 26.x সংস্করণগুলোর জন্য একাধিক নিরাপত্তা দুর্বলতা সমাধানে নতুন আপডেট প্রকাশ করেছে।
সমস্যাগুলোর ঝুঁকির মাত্রা Low থেকে High পর্যন্ত। Node.js প্রকল্পের মূল্যায়ন অনুযায়ী, এই আপডেটের সর্বোচ্চ ঝুঁকির মাত্রা High।
প্রধান নিরাপত্তা দুর্বলতাগুলো
১. Brotli ডিকোডারে Remote Code Execution — CVE-2026-111497
Brotli ডিকোডারের মেমোরি ব্যবস্থাপনায় একটি ত্রুটির কারণে নির্দিষ্ট পরিস্থিতিতে মেমোরির নির্ধারিত সীমার বাইরে ডেটা লেখা সম্ভব হতে পারত। আক্রান্ত কোডপথ ব্যবহার করা হলে এটি দূর থেকে ক্ষতিকর কোড চালানোর ঝুঁকি তৈরি করতে পারে।
২. DNS ইনপুট যাচাইকরণ — CVE-2026-105482
Node.js-এর dns.resolve() ফাংশনে null character-যুক্ত hostname প্রক্রিয়াকরণের সময় ত্রুটি ছিল। DNS ফলাফলের ওপর নিরাপত্তাসংক্রান্ত সিদ্ধান্ত নির্ভর করলে এ ধরনের ইনপুট যাচাইকরণ সমস্যা ঝুঁকি তৈরি করতে পারে।
৩. TLS সার্টিফিকেট ও hostname যাচাইকরণ — CVE-2026-105483 এবং CVE-2026-106069
hostname এবং IP address যাচাইকরণে কিছু দুর্বলতার কারণে নির্দিষ্ট পরিস্থিতিতে TLS সার্টিফিকেটের hostname যাচাই এড়িয়ে যাওয়ার সুযোগ তৈরি হতে পারত। এতে এনক্রিপ্টেড সংযোগের নিরাপত্তা দুর্বল হতে পারে।
৪. HTTP keep-alive সংযোগ ব্যবস্থাপনা — CVE-2026-105481
HTTP সংযোগ পরিচালনার একটি ত্রুটির কারণে keep-alive socket সংশ্লিষ্ট অনুরোধ পাঠানোর আগেই লেখা কোনো response প্রক্রিয়াকরণ করতে পারত।
৫. অন্যান্য নিরাপত্তা দুর্বলতা
এই আপডেটে আরও সমাধান করা হয়েছে:
নির্দিষ্ট IPv4 hostname-এর ক্ষেত্রে সার্টিফিকেট যাচাইকরণে সমস্যা।
কিছু startup snapshot-এ cryptographic random value পুনরাবৃত্ত হওয়ার ঝুঁকি।
ZIP header যাচাইকরণে দুর্বলতা।
Node.js Permission Model-এর ফাইল-অ্যাক্সেস নিয়ন্ত্রণসংক্রান্ত সমস্যা।
অ্যাপ্লিকেশন ও কনফিগারেশনের ওপর নির্ভর করে এসব দুর্বলতা দূর থেকে কোড চালানো, সংযোগের নিরাপত্তা দুর্বল হওয়া, অনুরোধ ভুলভাবে প্রক্রিয়াকরণ এবং অনুমতিনিয়ন্ত্রণ এড়িয়ে যাওয়ার মতো ঝুঁকি তৈরি করতে পারে।
অফিশিয়াল নিরাপত্তা বিজ্ঞপ্তি: https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
কোন Node.js সংস্করণে নিরাপত্তা আপডেট প্রকাশিত হয়েছে?
সংস্করণ সংশোধিত সংস্করণ বর্তমান অবস্থা
Node.js 22.x 22.23.4 Maintenance LTS
Node.js 24.x 24.22.1 Active LTS
Node.js 26.x 26.12.1 Current
ওয়েব অ্যাপ্লিকেশনের সঙ্গে সামঞ্জস্য যাচাই করে আক্রান্ত সংস্করণগুলোকে উপযুক্ত সংশোধিত সংস্করণে আপডেট করা উচিত।
360teem IT Solution-এর সার্ভারে Node.js আপডেট সম্পন্ন
গ্রাহকদের ওয়েবসাইট ও হোস্টিং অবকাঠামোর নিরাপত্তা বজায় রাখা 360teem IT Solution-এর অন্যতম অগ্রাধিকার।
অক্টোবর ২০২৬-এর Node.js নিরাপত্তা আপডেট প্রকাশের পর আমাদের সার্ভারগুলোতে ব্যবহৃত Node.js সংস্করণগুলোর প্রয়োজনীয় আপডেট সফলভাবে সম্পন্ন করা হয়েছে।
আমাদের লক্ষ্য হলো পরিচিত নিরাপত্তা দুর্বলতার বিরুদ্ধে দ্রুত ব্যবস্থা নেওয়া, সমর্থিত সফটওয়্যার ব্যবহার করা এবং পুরোনো সার্ভার সফটওয়্যার থেকে সৃষ্ট ঝুঁকি কমানো।
তবে সার্ভার পর্যায়ের আপডেট সম্পন্ন হওয়া মানেই প্রতিটি গ্রাহকের অ্যাপ্লিকেশন বা তৃতীয় পক্ষের সব প্যাকেজ স্বয়ংক্রিয়ভাবে নিরাপদ হয়ে গেছে—এমন নয়। অ্যাপ্লিকেশনের কোড, npm প্যাকেজ, কনফিগারেশন এবং অ্যাক্সেস কন্ট্রোলও নিয়মিত রক্ষণাবেক্ষণ করতে হবে।
EOL Node.js সংস্করণ আর ব্যবহার না করার নীতি
আমরা এমন Node.js সংস্করণ থেকে সরে আসার নীতি অনুসরণ করছি, যেগুলো End of Life (EOL) পর্যায়ে পৌঁছেছে এবং Node.js প্রকল্প থেকে আর নিয়মিত নিরাপত্তা আপডেট পায় না।
কোনো সংস্করণের EOL শেষ হলে সেটি আর অফিসিয়াল প্রকল্প থেকে নিরাপত্তা সংশোধনী পায় না। ফলে নতুন দুর্বলতা শনাক্ত হলেও পুরোনো সংস্করণে তার সমাধান নাও আসতে পারে।
Node.js সংস্করণগুলোর EOL তারিখ
নিচের প্রধান সংস্করণগুলো EOL পর্যায়ে পৌঁছেছে:
Node.js সংস্করণ অফিসিয়াল EOL তারিখ
25.x ১ জুন ২০২৬
23.x ১ জুন ২০২৫
21.x ১ জুন ২০২৪
20.x ৩০ এপ্রিল ২০২৬
19.x ১ জুন ২০২৩
18.x ৩০ এপ্রিল ২০২৫
17.x ১ জুন ২০২২
16.x ১১ সেপ্টেম্বর ২০২৩
15.x ১ জুন ২০২১
14.x ৩০ এপ্রিল ২০২৩
13.x ১ জুন ২০২০
12.x ৩০ এপ্রিল ২০২২
11.x ১ জুন ২০১৯
10.x ৩০ এপ্রিল ২০২১
9.x ১ জুন ২০১৮
8.x ৩১ ডিসেম্বর ২০১৯
7.x ১ জুন ২০১৭
6.x ৩০ এপ্রিল ২০১৯
5.x ১ জুন ২০১৬
4.x ৩০ এপ্রিল ২০১৮
0.x ২২ ফেব্রুয়ারি ২০১৭
গুরুত্বপূর্ণ: কোনো সংস্করণের সর্বশেষ আপডেট প্রকাশের তারিখ এবং আনুষ্ঠানিক EOL তারিখ এক নাও হতে পারে। সঠিক লাইফসাইকেল অবস্থা যাচাই করতে Node.js-এর অফিসিয়াল EOL পৃষ্ঠা ও রিলিজ শিডিউল অনুসরণ করুন।
অফিশিয়াল সূত্র:
https://nodejs.org/en/about/eol
https://github.com/nodejs/Release
প্রোডাকশন অ্যাপ্লিকেশনের জন্য সামঞ্জস্যপূর্ণ ও সমর্থিত LTS সংস্করণ ব্যবহারের পরামর্শ দিচ্ছি। পুরোনো সংস্করণে চলা অ্যাপ্লিকেশনের ক্ষেত্রে সামঞ্জস্য যাচাই করে মাইগ্রেশন পরিকল্পনা করুন।
আমাদের হোস্টিং গ্রাহকদের কী করা উচিত?
আমাদের পরামর্শ:
Node.js অ্যাপ্লিকেশন ও npm dependency নিয়মিত আপডেট রাখুন।
অ্যাপ্লিকেশনের সঙ্গে সামঞ্জস্যপূর্ণ সমর্থিত Node.js সংস্করণ ব্যবহার করুন।
অব্যবহৃত প্যাকেজ সরিয়ে ফেলুন এবং পরিচিত দুর্বলতার জন্য dependency যাচাই করুন।
নিয়মিত ব্যাকআপ ও শক্তিশালী অ্যাক্সেস কন্ট্রোল বজায় রাখুন।
পুরোনো Node.js সংস্করণ প্রয়োজন হলে আমাদের সাপোর্ট টিমের সঙ্গে যোগাযোগ করুন।
নিরাপত্তার প্রতি আমাদের অঙ্গীকার
নির্ভরযোগ্য হোস্টিং মানে শুধু অ্যাপ্লিকেশন সচল রাখা নয়। এর অর্থ হলো নিয়মিত সার্ভার রক্ষণাবেক্ষণ, গুরুত্বপূর্ণ নিরাপত্তা আপডেট প্রয়োগ এবং অসমর্থিত সফটওয়্যার থেকে সৃষ্ট ঝুঁকি কমানো।
আমরা আমাদের হোস্টিং অবকাঠামো নিরাপদ ও আপডেটেড রাখতে ধারাবাহিকভাবে কাজ করে যাব।
আপনার ওয়েবসাইট আমাদের কাছে গুরুত্বপূর্ণ। আপনার নিরাপত্তাই আমাদের অগ্রাধিকার।
