Node.js 安全更新预计将于 11 11 月发布

#遵循公告，不要猜测修复方法

公布的日期仍然是发布窗口。为 11 11 月准备维护并不意味着包将在特定时间可用。选择要部署的二进制文件或映像时，请检查更新的公告和发行说明。

我们尚无法描述利用场景或为此活动分配 CVE 标识符。我们也不能仅根据当前版本声明应用程序不受尚未发布的详细信息的影响。高严重性需要认真准备，一旦修复可用就确认精确的范围。

11 月 Node.js 官方公告

#10 月份的修复仍然是可用的基准

21 10 月活动已发布版本：22.23.4, 24.22.1 和 26.12.1. 等待 11 月公告并不会消除应用已可用于应用程序的修复程序的需要。

我们在法国当地时间 11 月 5 完成的维护期间执行的 PRNext 可执行审计，在服务中发现了 Node.js 24.22.1 并检查了五个容器。已验证的同步任务使用 22.23.4. 此审核识别了正在使用的运行时，而不替换 Node.js。

版本 24.22.2 也可用。其 28 10 月发行说明描述了维护，包括 V8 更改和流异步上下文处理。这不是 11 月份宣布的安全修复程序，并且在本次审核期间并未安装。

#找到实际为您的应用程序服务的 Node.js

终端可以报告与服务不同的版本。进程管理器可以保留旧二进制文件的绝对路径。容器有自己的镜像，而计划任务仍可能使用另一个解释器。更新终端运行时不会自动替换这些可执行文件。

将每个进程连接到其启动配置和可执行文件。对于容器，检查其内部的版本并保留准确的图像引用。对于服务，还要检查部署后启动的进程。以下命令仅描述当前终端中启动的进程；它们为该清单提供了一个起点。

node --version
node -p "process.execPath"

#一起准备部署和恢复

发布版本后，选择适用于受支持的版本系列的修复程序并验证适用于服务器的相同工件。在当前版本中应用安全修复程序可以使这种干预与主要版本迁移分开，后者需要自己的兼容性工作。

当您的分发方法或本机依赖项需要时进行重建。测试启动、身份验证、应用程序读写、外部连接和实际使用的流路径。替换后，验证新进程和容器中的版本，然后监视错误并重新启动。

保持代码和图像恢复策略与当前数据兼容。返回到较早的工件也可能重新引入易受攻击的运行时，因此必须了解其组成。恢复旧数据库以撤消运行时更改可能会丢弃写入，并且不属于此操作范围。

#npm 更新不会替换运行时

PRNext、Node.js 运行时和服务器操作系统具有单独的更新周期。安装新的 PRNext 版本不会替换正在运行的服务的二进制文件或现有的容器映像。

下一个检查点是 11 月 11 左右更新的 Node.js 公告。完成干预将需要实际运行的更正版本和验证的应用程序旅程。本文记录截至 11 月5 的准备情况；它没有确认即将到来的活动的修复。