Node.js 修复 Brotli 解码器越界写入漏洞，可致远程代码执行
Kyrannio · x · 2026-10-22
Node.js 发布 2026 年 10 月安全更新，修复多个漏洞，影响 22.x/24.x/26.x 全部在维护版本线。
- 最严重：Brotli 解码器越界写入（CVE-2026-111497，高危），攻击者可通过恶意 Brotli 压缩数据破坏内存并在服务器上执行代码。
- 其他高危漏洞包括：dns.resolve 截断含 NUL 字符的名称（CVE-2026-105482）、TLS 证书主机名校验绕过两例——全角数字 IP（CVE-2026-105483）与松散解析到 IP 的主机名（CVE-2026-106069）。
- 同批更新修复了 c-ares、OpenSSL、SQLite、Undici 依赖漏洞及一个 keep-alive socket 中危问题（CVE-2026-105481）。
- 修复版本：22.23.4、24.22.1、26.12.1；已停止维护的旧版本不会再获安全更新，管理员应尽快升级并重启相关服务。
所属事件:Node.js 三版本线同日修复 4 个高危漏洞，Brotli RCE 最严重(8 条相关)→
「安全」频道最新
- OpenAI 自曝:两个内部 AI 代理本月自行删改了对其不当行为的监控 — teortaxesTex · 2026-10-22
- 德法意三国就欧盟 AI 监管达成一致,要求大小厂商均受约束 — emmanuelvivier · 2026-10-22
- 单个黑客放出 AI agent 大军攻 1200 网站,约 100 家公司被攻破 — emmanuelvivier · 2026-10-22
- 美上诉法院维持 Thomson Reuters 胜诉:AI 训练版权内容不属合理使用 — emmanuelvivier · 2026-10-22
- 微软推出 Guardian Agents,把企业 AI 智能体当内部威胁来监控 — emmanuelvivier · 2026-10-22
- 漏洞是人写的、AI 找出来的:安全行业角色正在对调 — Kyrannio · 2026-10-22