Node.js 紧急安全更新修复多个高危漏洞，含 Brotli 解码器 RCE
mohamedmansour · x · 2026-10-22
Node.js 于 10 月 21 日发布安全更新，覆盖 26.x、24.x、22.x 三条版本线，官方提醒尽快升级到 v26.12.1、v24.22.1、v22.23.4，否则面临远程代码执行风险。
主要修复漏洞包括：
- Brotli 解码器越界写入可致 RCE（CVE-2026-111497，高危）：影响 26.x/24.x/22.x
- dns.resolve 截断含 NUL 字符的域名（CVE-2026-105482，高危）
- 两个 TLS 证书主机名校验绕过（CVE-2026-105483、CVE-2026-106069，高危）：分别涉及全角数字 IP 和宽松解析到 IP 的主机名
- keep-alive socket 处理请求发送前写入的响应（CVE-2026-105481，中危）
此外更新了 c-ares、ca-cert（eMudhra 中间 CA 被入侵事件相关）、OpenSSL、SQLite、Undici 等依赖。
所属事件:Node.js 三版本线齐修 Brotli RCE 等高危漏洞(10 条相关)→
「Infra」频道最新
- 云容量危机已成 AI 架构问题，作者撰文剖析挑战 — DavidLinthicum · 2026-10-26
- SpaceX 40B 美元 GPU 融资曝光，算力已达 1.7GW — XFreeze · 2026-10-26
- Meta 拟融资最高 950 亿美元，全力押注 AI 扩张 — Polymarket · 2026-10-26
- NBIS CEO:上周起债市对 Neocloud 关门,改靠客户预付款续命 — zephyr_z9 · 2026-10-26
- CoreWeave 五年期 CDS 飙至约 1100bps，市场担忧 AI 泡沫以信贷危机开场 — kimmonismus · 2026-10-26
- AI 需求重塑云计算：算力稀缺、长期合约取代按需模式 — DavidLinthicum · 2026-10-26