Node.js 26.13.0 “Lithium” เข้าสู่ LTS เมื่อ 28 ตุลาคม 2026 และมีกำหนดรับอัปเดตถึงสิ้นเดือนเมษายน 2029 ข่าวนี้เปลี่ยนสถานะการดูแลของสาย 26 ไม่ใช่การเพิ่มฟีเจอร์ชุดใหญ่: ทีม Node.js ระบุว่าต่างจาก 26.12.1 เพียง metadata ที่บอกสถานะ LTS
สำหรับทีมที่พลาดข่าวช่วง 19–30 ตุลาคม มีสองงานที่ควรแยกกัน คือ อัปเดตแพตช์ในสายที่ใช้อยู่ และ วางแผนย้าย major version การรอทดสอบ Node.js 26 ไม่ควรทำให้การอัปเดตความปลอดภัยของสายเดิมค้างไปด้วย
เช็กแพตช์ก่อนตัดสินใจย้าย major
ประกาศความปลอดภัยวันที่ 21 ตุลาคม ออกอัปเดตสำหรับสาย 22, 24 และ 26 โดยรุ่นที่แก้ในรอบนั้นคือ 22.23.4, 24.22.1 และ 26.12.1 ตามลำดับ ตัวเลขนี้เป็นจุดอ้างอิงของแพตช์รอบนั้น ไม่ใช่คำยืนยันว่าเป็น patch ล่าสุดตลอดไป
ประเด็นระดับ High ครอบคลุมการ resolve ชื่อที่มี NUL, การตรวจชื่อ host ในใบรับรอง TLS และ Brotli decoder กรณี Brotli ผู้โจมตีที่ส่งข้อมูลบีบอัดให้แอปนำไปคลายด้วย node:zlib อาจทำให้หน่วยความจำเสียหายและนำไปสู่การรันโค้ดได้ตามประกาศ ขอบเขตที่ได้รับผลขึ้นกับสายรุ่นและ API ที่แอปใช้ ไม่ใช่ข้อสรุปว่าทุกเว็บไซต์ถูกโจมตีแล้ว
ทีมควรตรวจ runtime ที่รันจริงทั้ง container, CI และเครื่องบริการ อ่าน advisory เพื่อเทียบ API ที่ใช้ และอัปเดต patch ของสายที่ยังได้รับการดูแล การย้ายไป 26.13.0 ต้องผ่านการตรวจความเข้ากันได้แยกอีกงานหนึ่ง
เวลา support ช่วยวางแผน แต่ไม่รับรอง dependency
กราฟปกใช้ ตารางกำหนดการของโครงการ Node.js ที่ตรวจวันที่ 30 ตุลาคม 2026 เป็นช่วงจากวันตรวจถึงวันสิ้นสุดการดูแลที่กำหนดไว้ ไม่ใช่ผลวัดประสิทธิภาพ และกำหนดการอาจเปลี่ยนได้
| สายรุ่น | วันสิ้นสุดการดูแลตามกำหนดการที่ตรวจ | ความหมายต่อการวางแผน |
|---|---|---|
| 22 | 30 เมษายน 2027 | ต้องมีแผนย้ายก่อนหมดการดูแล |
| 24 | 30 เมษายน 2028 | ยังประเมินการย้ายโดยไม่ต้องกระโดดข้ามการทดสอบ |
| 26 | 30 เมษายน 2029 | เป็น LTS รุ่นใหม่ แต่ยังต้องตรวจแอปและแพ็กเกจ |
ดูสถานะปัจจุบันประกอบจาก หน้า Node.js Releases คำว่า LTS บอกนโยบายดูแล runtime ไม่ได้รับรองว่า native addon, ORM, test runner หรือ framework ทุกเวอร์ชันรองรับสายนี้แล้ว
จุดที่ทีม Linux และ container ควรตรวจ
บันทึก 26.13.0 เตือนว่าตั้งแต่ Node.js 25 binary ทางการสำหรับ Linux link กับ libatomic ซึ่งบาง distribution ต้องติดตั้งแยก ทีมที่ย้ายจาก 22 หรือ 24 ควรตรวจ base image และ shared library ที่มีจริง ไม่สรุปว่าเปลี่ยนเลข image แล้วเพียงพอ
ก่อนเปลี่ยน production ให้แยก environment สำหรับทดลอง คง lockfile ของแอป ตรวจ engines และ native dependency แล้วรัน build, test, API smoke test และงานเบื้องหลังที่ใช้อยู่จริง เปรียบเทียบกับ runtime เดิมและเตรียม rollback ตามระบบของทีม
Reefsight ตรวจ release notes, advisory และตารางกำหนดการโดยตรง แต่ไม่ได้รันแอปของผู้อ่านบน Node.js 26 หรือทดสอบโจมตีช่องโหว่ จึงไม่มีข้ออ้างเรื่องความเร็ว ความเข้ากันได้ของโปรเจกต์เฉพาะ หรือการแก้ production ให้แล้ว
กราฟเป็นงานวาดใหม่ของ Reefsight จากวันกำหนดการทางการ แถบเริ่มวันเดียวกันเพื่อเทียบเวลาที่เหลือ ไม่ได้แสดงวันเปิดตัวของแต่ละ major