2026-10-27
Brotli 漏洞 CVE-2026-111497（Node2Shell）：如何檢查 Node.js、Python 與 .NET，以及需要更新什麼
2026 年 10 月 21 日（美國時間），Google 發布 Brotli 1.2.1、1.1.1 與 1.0.10，修補官方 Brotli 函式庫中的越界寫入漏洞 CVE-2026-111497。受影響的是 Brotli 1.0.3–1.0.9、1.1.0 與 1.2.0。解壓縮惡意構造的 Brotli 資料可能破壞記憶體，導致當機、記憶體內容外洩，甚至可能導致任意程式碼執行。Google 依 CVSS v4.0 將其評為 9.2。Node.js 於同一天發布 22.23.4、24.22.1 與 26.12.1，10 月 22 日 PyPI 套件也在 brotli 1.2.1 與 brotlicffi 1.2.1.0 中完成修補。Microsoft 於 10 月 25 日（美國時間）發布 .NET 8、9 與 10 的修補（8.0.33、9.0.22、10.0.14），Bun（1.4.4）與 Envoy 也已發布修補。日本電腦緊急應變小組 JPCERT/CC 於 10 月 26 日發布警示，其中提到 Node2Shell 與 HTTP2Shell 這兩個別稱。許多程式自帶 Brotli 副本，因此更新作業系統的函式庫並不能修補官方 Node.js 建置、來自 PyPI 的 Python wheel、容器映像檔或單一檔案執行檔中的副本。截至 10 月 27 日上午（日本時間），CISA 的已知遭利用漏洞（KEV）目錄未收錄此漏洞，也沒有第一手來源回報遭利用。本站結論：若 Node.js、Bun、Python 或 .NET 服務會解壓縮從外部收到的資料，請今天檢查版本並更新，然後重新建置容器與執行檔。