Що нового в Node.js 26.13 LTS

Коротко

Реліз Node.js 26.13.0 позначає офіційний перехід гілки 26.x у статус Long Term Support (LTS) з кодовою назвою 'Lithium', оновлення для якої виходитимуть до кінця квітня 2029 року. Окрім оновлення метаданих для фіксації статусу LTS, інших змін порівняно з 26.12.1 не внесено. Наступний патч 26.13.1 містить пакет безпекових виправлень (CVE) та оновлення вбудованих залежностей.

Нові можливості

Статус Long Term Support (LTS)

• Перехід у LTS 'Lithium': Лінійка Node.js 26.x отримала довготривалу підтримку (LTS) з кодовою назвою 'Lithium' і підтримуватиметься до кінця квітня 2029 року.
• Оновлення метаданих: Було оновлено об'єкт process.release та відповідні метадані для відображення того, що реліз є LTS.

Оновлення залежностей

У версії 26.13.1 оновлено низку компонентів:

• brotli оновлено до версії 1.2.1.
• llhttp оновлено до версії 9.4.4.
• sqlite оновлено до версії 3.54.1.
• undici оновлено до версій 8.12.3 та 8.12.4.

Виправлення та покращення

Реліз 26.13.1 є безпековим оновленням (security release) і містить низку виправлень у ключових модулях середовища:

HTTP/2

• Звільнення заголовків під час видалення потоку (release headers when a stream is removed, CVE-2026-123863).
• Виявлення потоків, покинутих nghttp2 (detect streams abandoned by nghttp2, CVE-2026-123865).
• Утримання буферів до завершення запису в сокет (retain buffers until socket writes finish, CVE-2026-123866).
• Утримання потоків під час очікування операцій запису (retain streams during pending writes, CVE-2026-123874).
• Запобігання переповненню буферів ALTSVC (avoid overflowing ALTSVC buffers, CVE-2026-123828).
• Стягнення вхідних даних DATA, утримуваних потоками, в рахунок maxSessionMemory (CVE-2026-123868).
• Захист від null-запитів запису на скасованому потоці (guard against null write request on cancelled stream, CVE-2026-123875).

TLS та HTTPS

• Виправлення аварійного завершення роботи TLS-сервера, досяжного дистанційно (fix remotely reachable TLS server crash, CVE-2026-126051).
• Вимкнення відновлення сесій для mTLS за відсутності контексту session id (CVE-2026-123872).
• Заборона зміни SNI під час renegotiation, HRR та відновлення TLS-сесії (CVE-2026-123872).
• Застосування CA для контекстів SNI без сертифіката (CVE-2026-123867).
• Запобігання вкладеному виконанню парсера через порожні операції запису в tls та http (CVE-2026-123864).
• Ізоляція ключів політик TLS у Agent для https (CVE-2026-123877).

HTTP, Permission та Zlib

• Маскування облікових даних проксі в помилках некоректних URL-адрес проксі в модулі http (CVE-2026-123871).
• Виправлення моделі дозволів: заборона витоку заборонених нащадків у рекурсивному fs.watch (CVE-2026-123829).
• Додано перевірку місця призначення heap snapshot у системі дозволів (CVE-2026-123873).
• Обробка зворотного виклику параметрів після виклику destroy у zlib (CVE-2026-123862).

Збірка та інструменти

• Забезпечено врахування налаштованого рівня API для OpenSSL під час збірки.
• Виправлено збірку зі старішими версіями OpenSSL 3.0 у модулі crypto.
• Використання вендорингового сховища сертифікатів (trust store) у shell.nix.