После патчей Node.js PM2 может работать на уязвимой версии

21 октября Node.js выпустил security-релизы 22.23.4, 24.22.1 и 26.12.1 с исправлением десяти CVE, включая критическую CVE-2026-111497 (out-of-bounds write в Brotli-декодере node:zlib, возможен RCE). Демон PM2 и systemd-юнит от pm2 startup сохраняют старый бинарник Node, поэтому приложение может остаться на уязвимой версии после обновления.

• Node.js 22.23.4, 24.22.1 и 26.12.1 закрывают 10 CVE, четыре с рейтингом High
• CVE-2026-111497 в Brotli-декодере node:zlib допускает RCE, обходных путей нет
• pm2 restart не меняет версию Node у демона, нужен pm2 update
• pm2 startup с nvm прописывает старый путь и после перезагрузки возвращает уязвимый Node