Falha no Node.js: seu site ou sistema pode estar exposto. Veja como conferir e atualizar

Se o seu site, loja virtual, sistema ou aplicativo foi feito em Node.js (ou em ferramentas que rodam sobre ele, como Next.js, Nuxt, Express e NestJS), este aviso é para você. No dia 21 de outubro de 2026, o time do Node.js liberou uma atualização de segurança que corrige 10 falhas de uma vez. A mais séria pode permitir que alguém de fora execute comandos dentro do servidor onde o seu sistema roda.

O que aconteceu, em linguagem simples

O Brotli é um formato de compressão, parecido com um arquivo zip, que os sites usam para carregar mais rápido. O Node.js tem um “descompactador” de Brotli embutido, que roda toda vez que o sistema recebe ou busca dados comprimidos nesse formato.

O problema: um pacote de dados montado de propósito com defeito fazia esse descompactador escrever informações fora do espaço de memória reservado para ele. Em segurança, esse tipo de erro é perigoso porque abre caminho para o invasor rodar o próprio código no servidor. A correção faz o Node.js recusar esses dados antes do estrago.

As outras falhas corrigidas no mesmo pacote envolvem a checagem de certificados de segurança (o cadeado das conexões), identificadores “aleatórios” que podiam se repetir e brechas no controle de acesso a arquivos.

Já estão atacando?

Até 22 de outubro não havia registro de ataques reais usando essa falha. Mas um dia depois da correção já existia uma demonstração pública de como explorá-la, ainda limitada. Esse é o padrão: a correção sai, os detalhes ficam públicos e os robôs de ataque começam a testar sites desatualizados em poucos dias. Quem atualiza agora fica fora da lista.

Nesta mesma semana o PHP passou por algo parecido, e lá os ataques começaram antes mesmo da correção. Veja aqui o caso do PHP2Shell.

Quem precisa se preocupar

• Sites e lojas feitos em Next.js, Nuxt, Remix ou Astro com servidor próprio.
• Sistemas internos, painéis e APIs feitos em Express, NestJS ou Fastify.
• Robôs de WhatsApp, integrações e automações que rodam em Node.js.
• Qualquer sistema que recebe arquivos ou dados de fora, ou busca informações em outros servidores.

Se o seu site é WordPress puro, ele roda em PHP e não em Node.js. Mas vale conferir se você tem algum sistema, robô ou integração separada.

Como saber a versão do Node.js do seu sistema

1. Peça ao seu programador para rodar o comando node -v no servidor. O resultado precisa ser 22.23.4, 24.22.1, 26.12.1 ou maior.
2. Hospedagem com painel (CloudPanel, cPanel, Plesk): procure a área de aplicações Node.js. A versão aparece na configuração do site.
3. Vercel, Netlify, Render e similares: veja nas configurações do projeto qual versão do Node.js está selecionada e faça um novo deploy depois de ajustar.

Como atualizar sem derrubar o sistema

1. Faça backup do código, do banco de dados e das variáveis de ambiente.
2. Teste primeiro em uma cópia (homologação), nunca direto no sistema que os clientes usam.
3. Atualize o Node.js para a versão corrigida da mesma linha (por exemplo, de 22.x para 22.23.4).
4. Reinstale as dependências e rode npm audit para ver se algum pacote também precisa de atualização.
5. Reinicie a aplicação (PM2, Docker ou o painel da hospedagem) e teste login, formulários, pagamentos e integrações.
6. Está no Node 20 ou anterior? Aí é migração: precisa testar com mais calma, porque bibliotecas antigas podem quebrar.

Teste seu site de graça agora

A Auditoria 360 analisa o seu site de fora, do jeito que um robô de ataque faria, sem invadir e sem derrubar nada. Ela agora identifica sites feitos em Node.js (Next.js, Nuxt e Express), além de checar versões desatualizadas, portas abertas, arquivos expostos e sinais de invasão.

Apareceu alerta ou não sabe por onde começar?

Eu trabalho há mais de 15 anos com sistemas, servidores e desenvolvimento web, incluindo Node.js, React e infraestrutura em nuvem. Faço o processo completo: confiro a versão por dentro do servidor, faço backup, atualizo, testo tudo e entrego o sistema funcionando. Sem você precisar entender nada disso.

Fez o teste e apareceu algum alerta? Me chame no WhatsApp com o resultado que eu te digo o que precisa ser feito.

Fontes: comunicado oficial de segurança do Node.js (21/10/2026), The Hacker News e reportagem do TecMundo/Estadão.