# Node.js - Gennaio 2026 Security Releases

> Aggiornamenti di sicurezza per Node.js 25.x, 24.x, 22.x e 20.x: 3 vulnerabilità di gravità elevata, 4 media e 1 bassa. Ecco cosa risolvono e come aggiornare.

- Autore / Author: Diego Betto (https://diegobetto.com/about/)
- Pubblicato / Published: 2026-01-15
- URL: https://diegobetto.com/nodejs-security-release-2026/
- Tag: javascript, security

## Nuove vulnerabilità critiche in Node.js

Il team Node.js ha rilasciato aggiornamenti di sicurezza per le versioni **25.x, 24.x, 22.x e 20.x**, dopo la segnalazione di alcune vulnerabilità gravi lo scorso dicembre — arrivati solo ora, a ridosso delle festività natalizie.

In totale vengono risolti 8 problemi: 3 di gravità elevata, 4 di gravità media e 1 di gravità bassa.

### Vulnerabilità high

- [Timeout-based race conditions make Uint8Array/Buffer.alloc non-zerofilled (CVE-2025-55131)](https://nodejs.org/en/blog/vulnerability/december-2025-security-releases#timeout-based-race-conditions-make-uint8arraybufferalloc-non-zerofilled-cve-2025-55131---high)
- [Bypass File System Permissions using crafted symlinks (CVE-2025-55130)](https://nodejs.org/en/blog/vulnerability/december-2025-security-releases#bypass-file-system-permissions-using-crafted-symlinks-cve-2025-55130---high)
- [Node.js HTTP/2 server crashes with unhandled error when receiving malformed HEADERS frame (CVE-2025-59465)](https://nodejs.org/en/blog/vulnerability/december-2025-security-releases#nodejs-http2-server-crashes-with-unhandled-error-when-receiving-malformed-headers-frame-cve-2025-59465---high)

### Vulnerabilità medium

- [Uncatchable "Maximum call stack size exceeded" error on Node.js via async_hooks leads to process crashes bypassing error handlers (CVE-2025-59466)](https://nodejs.org/en/blog/vulnerability/december-2025-security-releases#uncatchable-maximum-call-stack-size-exceeded-error-on-nodejs-via-async_hooks-leads-to-process-crashes-bypassing-error-handlers-cve-2025-59466---medium)
- [Memory leak that enables remote Denial of Service against applications processing TLS client certificates (CVE-2025-59464)](https://nodejs.org/en/blog/vulnerability/december-2025-security-releases#memory-leak-that-enables-remote-denial-of-service-against-applications-processing-tls-client-certificates-cve-2025-59464---medium)
- [Node.js permission model bypass via unchecked Unix Domain Socket connections (UDS) (CVE-2026-21636)](https://nodejs.org/en/blog/vulnerability/december-2025-security-releases#nodejs-permission-model-bypass-via-unchecked-unix-domain-socket-connections-uds-cve-2026-21636---medium)
- [TLS PSK/ALPN Callback Exceptions Bypass Error Handlers, Causing DoS and FD Leak (CVE-2026-21637)](https://nodejs.org/en/blog/vulnerability/december-2025-security-releases#tls-pskalpn-callback-exceptions-bypass-error-handlers-causing-dos-and-fd-leak-cve-2026-21637---medium)

### Vulnerabilità low

- [fs.futimes() Bypasses Read-Only Permission Model (CVE-2025-55132)](https://nodejs.org/en/blog/vulnerability/december-2025-security-releases#fsfutimes-bypasses-read-only-permission-model-cve-2025-55132---low)

## Download e dettagli sulla versione

<ul>
  <li>
    [Node.js 20.20.0](https://nodejs.org/en/blog/release/v20.20.0/)
  </li>
  <li>
    [Node.js 22.22.0](https://nodejs.org/en/blog/release/v22.22.0/)
  </li>
  <li>
    [Node.js 24.13.0](https://nodejs.org/en/blog/release/v24.13.0/)
  </li>
  <li>
    [Node.js 25.3.0](https://nodejs.org/en/blog/release/v25.3.0/)
  </li>
</ul>

È importante notare che le versioni End-of-Life sono sempre interessate quando viene rilasciata una versione di sicurezza. Per garantire la sicurezza del sistema, utilizzare una versione aggiornata come indicato nel [Programma di rilascio](https://github.com/nodejs/release#release-schedule) di Node.js.

Se ti interessa la sicurezza lato web, ho scritto anche una guida su come funziona la [Content Security Policy](https://diegobetto.com/csp-content-security-policy/) per proteggere le tue applicazioni da script malevoli.

E se stai per avviare un nuovo backend Node.js, prima di scegliere lo stack dai un'occhiata a come [creare una REST API con Fastify e TypeScript](https://diegobetto.com/fastify-rest-api-typescript/): aggiornare le dipendenze conta poco se poi le API stesse validano male l'input che ricevono.