Brotli 解码器越界写漏洞波及 Python 生态

Google Brotli 解码器被披露存在严重缓冲区越界写入漏洞，影响 1.0.3 至 1.2.0 版本。Aikido Security 指出该漏洞（CVE-2026-111497，即 node2shell）同样波及 Python 生态，可经 Brotli 解压路径实现预认证远程代码执行，受影响库月下载量超 1 亿次。GitHub 已发布 critical 级安全通告，社区还出现了 Python2Shell 等现成利用概念，PyPI 相关包面临风险。

2026-10-24 ~ 2026-10-24 · 2 条相关

事件全程(共 3 集)→

• 第 1 集:Node.js 三版本线齐修 Brotli RCE 等高危漏洞(2026-10-21,10 条)
• 第 2 集:OpenAI 红队发现 Brotli 未认证 RCE，Node.js 等已发修复版(2026-10-23,6 条)
• 第 3 集:Brotli 解码器越界写漏洞波及 Python 生态(2026-10-24,2 条)

• node2shell 漏洞波及 Python:Brotli 库可被预认证 RCE,月下载超 1 亿 — cyb3rops · 2026-10-24
• Brotli 解码器越界写漏洞波及 PyPI,Python2Shell 概念现成利用 — banteg · 2026-10-24