通告
Node.js 紧急安全版修复多条高危问题，含 Brotli 解码器越界写可致远程代码执行
Node.js 项目于 10 月 21 日为 26.x、24.x、22.x 发布安全更新（v26.12.1、v24.22.1、v22.23.4），修复多条高危与中危缺陷，其中最高优先级包括 CVE-2026-111497（Brotli 解码器越界写可导致远程代码执行），以及 DNS 解析截断、TLS 主机名校验绕过等若干 high 级问题；同批亦更新 c-ares、与 eMudhra 中间 CA 相关的证书包、OpenSSL、SQLite、Undici 等依赖。官方明确已结束支持的版本在安全发布时仍视为受影响，应迁至受支持发行线。
跟你的关系运行 Node.js 22/24/26 的应用与托管镜像应升至对应安全小版本并重启/重新部署进程；仍停留在已 EOL 主线的环境需尽快迁移。
活动
安全版于 2026-10-21 或其后不久提供下载；披露说明同日发布。
- 状态
- 已公开
- 行业
- 信息技术、电子商务、专业服务
- 可信度
- 高
可信度标为高：已经打开的独立调查报告不止一份。
来源
Node.js · 事件调查报告 · 最先提出