Node.js 一天补 4 个高危漏洞，最重可致远程执行代码与 TLS 校验绕过

sven_ai · x · 2026-10-22

Node.js 今日修补 4 个高危漏洞，与 PHP 同日发布补丁。最严重的 CVE-2026-111497 位于 Brotli 解码器，允许远程执行代码；更值得警惕的是两个可绕过 TLS 主机名检查的漏洞——应用可能把不属于通信对端服务器的证书当作有效，锁图标还在但已不保证安全。

作者给出修复清单：运行 node -v 检查版本，早于 v22.23.4、v24.22.1 或 v26.12.1 需更新；Docker 部署需重建镜像，只更新本地机器不会改变生产环境；仍在使用 Node.js 18 或 20 的用户没有补丁可用，必须迁移。配图展示用 AI 编码助手 SSH 到 VPS 上核实安全公告并执行升级的过程，约 2 分钟完成。