2026-10-27
Brotli 漏洞 CVE-2026-111497（Node2Shell）：如何检查 Node.js、Python 和 .NET，以及需要更新什么
2026年10月21日（美国时间），Google 发布了 Brotli 1.2.1、1.1.1 和 1.0.10，修复了官方 Brotli 库中的越界写入漏洞 CVE-2026-111497。受影响的是 Brotli 1.0.3–1.0.9、1.1.0 和 1.2.0。解压构造的 Brotli 数据可能破坏内存，导致崩溃、内存泄露，甚至可能导致任意代码执行。Google 在 CVSS v4.0 下将其评为 9.2。Node.js 于同一天发布了 22.23.4、24.22.1 和 26.12.1，10月22日 PyPI 软件包也在 brotli 1.2.1 和 brotlicffi 1.2.1.0 中得到修复。Microsoft 于10月25日（美国时间）发布了 .NET 8、9 和 10 的修复（8.0.33、9.0.22、10.0.14），Bun（1.4.4）和 Envoy 也发布了修复。日本计算机应急响应小组 JPCERT/CC 于10月26日发布警报，其中提到了 Node2Shell 和 HTTP2Shell 这两个别称。许多程序自带 Brotli 副本，因此更新操作系统的库并不能修复官方 Node.js 构建、来自 PyPI 的 Python wheel、容器镜像或单文件可执行程序中的副本。截至10月27日上午（日本时间），CISA 的已知被利用漏洞（KEV）目录未收录该漏洞，也没有一手来源报告其被利用。本站结论：如果 Node.js、Bun、Python 或 .NET 服务会解压从外部收到的数据，请今天检查版本并更新，然后重新构建容器和可执行程序。