Node.js 同日安全更新：Brotli 漏洞可远程执行代码，三条版本线一起升
10 月 21 日对运维和开发者来说是个「双份补丁日」：PHP 那边出了两个 9.2 分的严重漏洞（本站头条另有专文），Node.js 这边也在同一天按计划发布了三条版本线的安全更新——v26.12.1、v24.22.1、v22.23.4，一次修掉 10 个漏洞，其中 4 个是高危。官方公告本站已逐条核对，要点如下：这次最扎眼的一处缺陷，能让精心构造的压缩数据在服务器上执行任意代码。
高危的四处，分别坏在哪
按 Node.js 官方安全公告：最严重的是 CVE-2026-111497，出在 Brotli 解码器上，越界写入可能导致远程代码执行——处理不可信 Brotli 压缩内容的服务要优先处理。另外两处高危（CVE-2026-105483、CVE-2026-106069）坏在 TLS 证书主机名校验上：用全角数字等特殊形式写 IP 地址，可以绕过证书校验，等于给中间人攻击开了口子。第四处（CVE-2026-105482）是 DNS 解析遇到 NUL 字符时会把名字截断，可能让查询落到非预期的目标上。剩下的中低危问题分布在 HTTP 长连接响应处理、启动快照里随机数重复、ZIP 处理和权限模型等角落。这次还顺带更新了一批依赖：c-ares、OpenSSL、SQLite、Undici，并更新了根证书库——处理了 eMudhra 中间 CA 证书泄露事件，受影响的证书不再受信任；这件事和本周浏览器厂商的动作是同一条线。
一个最容易踩的误区：查错了地方
Node.js 的更新对象是运行时本身，不是你项目里的 npm 包。也就是说，天天跑 npm audit 看到一片绿，并不代表你的 Node 版本是打过补丁的——audit 查的是依赖包，查不到运行时自己的漏洞。正确的自查方式是在每一台真正跑服务的机器上执行 node -v：开发机、CI、容器镜像、服务器，四处的版本经常不是同一个。容器用户要记得重新拉取或重建镜像，只在宿主机上升版本，容器里跑的还是旧运行时。还有官方反复强调的一句：已结束生命周期（EOL）的版本线同样受影响，而且不会有补丁——还停在 20.x 及更早版本线的项目，这次连「升个小版本」的选项都没有，只能排期迁移到 22/24/26 这三条受支持的线。
站长判断
同一天里，服务器世界最主流的两个运行时——PHP 与 Node.js——前后脚发布安全更新，这不是巧合，而是现代软件供应链的常态：你的应用代码再干净，脚下运行时的一个洞就能全盘托出。本站给读者的建议很朴素：把「运行时版本」当成资产来管，像管Python 版本一样，知道每台机器在跑什么、哪条线还有多久结束支持、补丁日定在每月哪一天。工具链的小事也可以顺手用本站的 JSON 格式化工具 这类在线小工具解决，但运行时版本这种大事，只能靠制度，不能靠想起来。
相关阅读
· Python 3.15 来了：懒加载和 UTF-8 默认，冲着这两点就值得升
· OpenBSD 8.0 发布：虚拟机拉到 64 核，这个「慢系统」补上了两块短板
信息来源：Node.js 官方安全发布公告（2026-10-21）；文中判断为本站观点。
发表评论