Node.js修补Brotli高危漏洞
先了解这件事
Node.js已发布安全更新，修复4个高危漏洞，其中CVE-2026-111497涉及Brotli解压路径，可导致内存泄露或远程代码执行，另两个漏洞可绕过TLS主机名校验。用户应将Node.js 22.x、24.x和26.x分别升级至v22.23.4、v24.22.1和v26.12.1；18.x、20.x暂无补丁，需迁移至受支持版本，Docker部署还须重建并发布镜像。 Aikido Security称，使用内置fetch()、body-parser或Python Brotli库处理不可信压缩数据的应用可能受影响。OpenAI红队则称，未打补丁的服务端可被恶意客户端接管，使用curl --compressed的客户端也可能遭恶意服务端攻击，Bun、Envoy等依赖Brotli的软件同样需升级。相关报道对漏洞编号分别写作CVE-2026-111497和CVE-2026-11149。
AI 根据报道生成 · 47 分钟前更新
事件进展
4 个进展
- 10月24日 07:16 · 2 篇报道OpenAI披露Brotli严重RCE漏洞AGI Hunt：OpenAI 红队发现 Brotli 严重 RCE 漏洞，Node.js 等软件受影响
- 10月24日 05:16 · 1 篇报道Aikido披露Brotli库预认证RCE漏洞AGI Hunt：Python Brotli 库曝 node2shell 漏洞，可被预认证 RCE
- 10月22日 10:22 · 1 篇报道披露Node.js高危Brotli漏洞AGI Hunt：Node.js 高危漏洞 CVE-2026-111497 可导致远程代码执行
- 10月22日 09:31 · 1 篇报道Node.js修补四个高危漏洞AGI Hunt：Node.js 修补4个高危漏洞，附版本升级与Docker重建指南
报道时间线
沿着报道，了解事件的不同侧面。
- AGI HuntOpenAI 红队发现 Brotli 压缩库未认证 RCE 漏洞
OpenAI 红队发现广泛部署的 Brotli 压缩库存在无需认证的远程代码执行漏洞，编号为 CVE-2026-11149，评级为 high。Node.js、Bun、Envoy 等依赖该库的软件受到影响，OpenAI 总裁 Greg Brockman 表示团队正在推进漏洞披露并协调修复。
- AGI HuntOpenAI 红队发现 Brotli 严重 RCE 漏洞，Node.js 等软件受影响
OpenAI 红队在基础设施代码扫描中发现 Brotli 存在无需认证的远程代码执行漏洞，CVE-2026-11149，影响 Node.js 22.x、24.x、26.x 以及 Bun、Envoy 等软件。
- AGI HuntPython Brotli 库曝 node2shell 漏洞，可被预认证 RCE
Aikido Security 披露，node2shell 漏洞（CVE-2026-111497）同样影响 Python 生态，攻击者可通过 Brotli 解压路径实现预认证远程代码执行。Brotli 月下载量约 1 亿次，补丁已可用，Aikido 称其产品可检测该漏洞，并将在允许范围内通报更多受影响方。
- AGI HuntNode.js 高危漏洞 CVE-2026-111497 可导致远程代码执行
Aikido Security 披露 Node.js 高危漏洞 CVE-2026-111497，处理攻击者可控的 Brotli 压缩数据时可能导致内存内容泄露或任意代码执行。使用内置 fetch()、body-parser 等功能解压不可信 Brotli 数据的应用可能受到影响，官方补丁已经发布。
- AGI HuntNode.js 修补4个高危漏洞，附版本升级与Docker重建指南
Node.js 今日修补4个高危漏洞，其中 CVE-2026-111497 可导致远程执行代码，另有两个漏洞可绕过 TLS 主机名检查。运行 `node -v` 检查版本，早于 v22.23.4、v24.22.1 或 v26.12.1 需更新，Docker 部署还需重建镜像；Node.js 18 或 20 暂无补丁，必须迁移。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。