· adswds-team · 安全 · 4 min read
Node.js Brotli 解码越界写：CVE-2026-111497，10 月 21 日安全发行
Node.js 官方：CVE-2026-111497 为高危，Brotli 解码器越界写可导致远程代码执行。影响 26.x、24.x、22.x，修复于 26.12.1、24.22.1、22.23.4。
Node.js 2026-10-21 安全发行把 CVE-2026-111497 标为 high：Node.js 的 Brotli 解码器存在越界写，可导致远程代码执行。影响 26.x、24.x、22.x。修复落在 v26.12.1、v24.22.1、v22.23.4。公告没有给出数字版 CVSS，也没有公开完整触发条件；本文不补写利用步骤。
一句话：解压不可信的 Brotli，现在要按 RCE 来排期，而不是按「解码失败最多崩溃」。
同一次发行还有证书主机名与 DNS 空字节问题，分别见 CVE-2026-106069 与 CVE-2026-105482。升级一次安全发行，不要只盯某一条 CVE 自己打补丁。
一、发行说明里能核对的内容
| 项 | 内容 |
|---|---|
| 标题原文 | Node.js Brotli decoder out-of-bounds write permits remote code execution |
| 严重性 | 安全公告：high。三条发行线的最高严重性都是 high |
| 影响线 | 26.x、24.x、22.x |
| 修复版本 | 26.12.1、24.22.1、22.23.4 |
| 修复记录 | deps: brotli: cherry-pick 0ed4268a4401abcb44720963；26.12.1 的 GitHub 发行说明另有 src: expose BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH |
| 报告 / 修复 | 报告 mcollina，修复 aduh95；brotli 提交署名为 Evgenii Kliuchnikov |
| 已停止维护的线 | 公告写明：安全发行发生时，End-of-Life 版本一律视为受影响，且不会收到这次修复 |
官方没有在公告里写「任意 HTTP 响应即 RCE」或「必须先调用某个 API」。能确认的是：问题在 Node 自带的 Brotli 解码器，类型是越界写，后果包括远程代码执行，三条仍在维护的发行线都要升。
二、同包还有这些依赖更新
安全公告把下列依赖更新列在同一次发行里（用于已公开的漏洞，细节以各依赖自身公告为准）：
| 依赖 | 公告覆盖的线 | 发行说明中的版本（有写明的） |
|---|---|---|
| c-ares | 26.x、24.x、22.x | 1.34.9 |
| 根证书 / eMudhra 中间 CA | 26.x、24.x、22.x | 根证书更新到 NSS 3.131.1；另有「拒绝包含被封锁公钥的证书链」 |
| OpenSSL | 24.x、22.x | openssl-3.5.9 |
| SQLite | 仅 22.x | 3.53.4 |
| Undici | 26.x、24.x、22.x | 24.22.1 为 undici 7.30.1；22.23.4 为 undici 6.29.1。26.12.1 的公告确认有 Undici 更新，本文不编具体小版本 |
26.12.1 的显著变更列表里没有 OpenSSL 3.5.9 这一条，不要把它抄到 Current 线上。
三、构建机和落地服务怎么升
投放侧真正跑 Node 的，多半不是访客看到的 HTML，而是：构建落地资源的 CI、做服务端渲染或 BFF 的进程、以及会解压上游响应的 Worker。
-
node -v对到 22.23.4 / 24.22.1 / 26.12.1，而不是「已经在 22」； - 镜像基础层、
.nvmrc、CI 的 actions setup 一起改，避免下次构建又拉回旧 Current； - 进程要重启。只换了磁盘上的二进制、旧进程仍在，等于没修；
- EOL 主版本换到仍受支持的线，不要等一条不存在的补丁；
- 对会解压不可信字节的服务，升级完成前收紧来源；公告没有提供「关掉 Brotli」的官方替代修复。
访客规则过滤不了你的 Node 进程怎么解码响应。运行时版本是构建链和 BFF 的边界。
四、小结
CVE-2026-111497 是 2026-10-21 Node 安全发行里明确写成远程代码执行的高危项，修在 26.12.1、24.22.1、22.23.4。触发条件官方尚未展开，运维动作不依赖 PoC：升这三版，重启，并带上同包的 c-ares、证书与（24/22 上的）OpenSSL。
来源：October 21, 2026 Security Releases、v26.12.1、v24.22.1、v22.23.4。
