Node.js 修補 Brotli 高危漏洞並更新憑證信任資料

CVE-2026-111497

主要來源公告：2026-10-21

本站刊登：2026-10-24 · 內容更新：2026-10-24（香港日期）

情報摘要

Node.js 10 月 21 日安全更新涵蓋 22.x、24.x 及 26.x。當應用透過 node:zlib 解壓攻擊者提供的 Brotli 資料，CVE-2026-111497 可損毀記憶體，導致崩潰、資料洩露或遠端程式碼執行。

本批次亦處理 DNS、TLS 等問題，並更新涉及 eMudhra 事件的憑證信任資料；各項漏洞受影響分支及條件並不完全相同。

Node.js 22.x、24.x、26.x 修補前版本

香港 Node.js 開發及維運團隊

升級至所用分支的 22.23.4、24.22.1 或 26.12.1，或其後修補版本；停止使用已終止支援的版本。

Node.js 官方將 CVE-2026-111497 及本批次最高嚴重程度列為 HIGH；未換算 CVSS。

公告未提供此漏洞野外利用或香港受害統計；不能據此宣稱已遭廣泛攻擊。