Node.js Brotli 解码器曝高危 RCE 漏洞,波及 22/24/26 版本

cramforce · x · 2026-10-22

Node.js 发布安全更新,修复 22.x、24.x、26.x 中的多个漏洞,其中最严重的 CVE-2026-111497 是 Brotli 解码器的高危缺陷:处理攻击者传入的 Brotli 数据可导致内存泄露或任意代码执行。同批修复还包括两个高危的 TLS 主机名校验绕过。

Vercel 已在当天上线 WAF 规则拦截已知攻击模式,并正在为托管运行时滚动更新补丁版本。但官方强调 WAF 不能替代打补丁:任何在 Vercel 托管环境之外运行 Node.js 的场景(自托管 Next.js、自建容器、CI runner、本地开发)都应立即升级到 22.23.4、24.22.1 或 26.12.1。仍在用已停止维护的 Node.js 20.x 的 Vercel 项目需切换到 22.x 或 24.x 并重新部署。