Node.js نسخه 26.13.1 از شاخه LTS با نام Lithium را در ۱۱ نوامبر ۲۰۲۶ منتشر کرد. این انتشار امنیتی شامل اصلاحاتی با شدت بالا، متوسط و پایین است؛ بخش مهمی از تغییرات به HTTP/2 و TLS مربوط می‌شود.
در HTTP/2، اصلاحات با شدت بالا شامل آزادکردن headerها هنگام حذف stream، تشخیص streamهای رهاشده توسط nghttp2، نگه‌داشتن bufferها تا پایان نوشتن روی socket و حفظ streamها هنگام نوشتن‌های در انتظار است. همچنین در بخش مشترک tls و http، از اجرای تودرتوی parser بر اثر نوشتن داده خالی جلوگیری شده است.
در TLS، مشکل crash سرور که از راه دور قابل تحریک بود، با شناسه CVE-2026-126051 و شدت بالا برطرف شده است. سه اصلاح دیگر با شناسه CVE-2026-123872 ثبت شده‌اند: غیرفعال‌کردن session resumption برای mTLS بدون session id context، جلوگیری از تغییر SNI هنگام renegotiation یا HRR و جلوگیری از تغییر SNI هنگام TLS resumption.
اصلاحات با شدت متوسط در HTTP/2 شامل جلوگیری از سرریز bufferهای ALTSVC، محاسبه DATA ورودی نگه‌داشته‌شده توسط streamها در maxSessionMemory و بررسی درخواست نوشتن null برای stream لغوشده است. در TLS نیز اعمال CA مربوط به SNI contextهای بدون certificate اصلاح شده است. بخش http حالا اطلاعات احراز هویت Proxy را در خطاهای مربوط به URL نامعتبر آن پنهان می‌کند؛ در https هم کلیدهای سیاست TLS مربوط به Agent از یکدیگر جدا شده‌اند.
در سطح شدت پایین، دو اصلاح به permission مربوط‌اند: جلوگیری از افشای موارد زیرمجموعه‌ای که دسترسی به آن‌ها رد شده، هنگام استفاده از fs.watch به‌صورت recursive، و بررسی مقصد heap snapshot. در zlib نیز رسیدگی به callback مربوط به params پس از destroy اصلاح شده است.
این انتشار همچنین brotli را به 1.2.1، llhttp را به 9.4.4، sqlite را به 3.54.1 و undici را به 8.12.4 به‌روزرسانی می‌کند. در فهرست commitها، اصلاح ساخت با نسخه‌های قدیمی‌تر OpenSSL 3.0 و رعایت سطح API تنظیم‌شده OpenSSL نیز آمده است.
