Brotli 解码漏洞扩散：Python、Envoy 相继中招，Node.js 已修复

Node.js 的修复只是开头。10 月 23 日至 24 日，Brotli 解码器漏洞 CVE-2026-111497 的影响范围进一步扩大：Python 的两个包、代理软件 Envoy 相继确认受影响并发布修复，Debian 也跟进了系统包。漏洞不在某个应用里，而在很多软件共用的压缩代码里，这正是它麻烦的地方。

对谁有用：不只 Node.js 用户

漏洞出在 Google Brotli 解码器里：畸形的压缩数据流会让解码器越界写入内存，可能导致崩溃、内存泄露甚至远程执行代码。Node.js 已在 10 月 21 日发布 22.23.4、24.22.1、26.12.1 三个修复版，但同样一份解码代码还被嵌进别处：GitHub 安全公告确认，受影响的是 Brotli 1.0.3 至 1.2.0，修复版为 1.0.10、1.1.1 与 1.2.1；PyPI 上的 Brotli 与 brotlicffi 两个包用的是同一份 C 代码，也已发布修复并登入安全公告；Envoy 确认 1.39.2 等四个版本受影响，修复版为 1.40.0、1.39.3 等五个版本。OpenAI 随后披露，这个漏洞是它用 AI 智能体做防御测试时发现的；根因早在二月就已修复，只是当时没人意识到它是个安全漏洞。

读者下一步做什么

普通用户不用自己找 Brotli 来装：它是被嵌进应用里的，跟着应用与系统更新走就行。Node.js 服务升到三个修复版之一，Python 项目把 Brotli 升到 1.2.1、brotlicffi 升到 1.2.1.0，Debian 13 用户装 1.1.0-2+deb13u1。跑服务的读者注意：只换二进制不够，重启进程、重建容器镜像才算真正用上修复版；一时升不上去的，可以先拒收 Brotli 压缩的不可信数据。截至目前，没有公开报告证实该漏洞已被真实攻击利用。

相关阅读

· 一家 CA 的私钥居然是「4」：eMudhra 证书事件，半个互联网连夜换锁
· Firefox 158.0.1：把失窃 CA 的证书拉黑，顺手修了几个烦人 bug
· 三星 S25 系列十月安全补丁扩围：62 个修复，欧洲和美国也开始推送了

信息来源：GitHub 安全公告 GHSA-9v8h-qqgm-4m35、Node.js 官方安全发布公告、Envoy 安全公告 GHSA-3wvj-j6qm-62mr（2026-10-21～24）；文中判断为本站观点。