事件概述

10 月 21 日，Node.js 项目发布安全更新，覆盖 26.x、24.x、22.x 三个版本分支，修复版本分别为 26.12.1、24.22.1、22.23.4。

漏洞详情

本次公告共列出 10 项漏洞：4 项高危、3 项中危、3 项低危，各分支受影响范围不同。

  • CVE-2026-111497：Brotli 解码器越界写入，可导致远程代码执行，三个分支均受影响

  • DNS 解析空字符处理问题

  • TLS 证书主机名验证绕过


其他修复

更新同时修复持久连接响应处理、随机数缓存重复及权限模型等问题，并升级 c-ares、OpenSSL、Undici 等依赖组件。

官方提醒，已终止支持（EOL）的版本同样可能受漏洞影响，用户应尽快切换至受支持的最新版本。此前 PHP 亦修复两项未经身份验证即可远程代码执行的严重漏洞。