ZONE.CI 全球网

2026年10月21日多个运行时组件爆发高危漏洞，涉及PHP、Node.js、Go、Rust。PHP两个CVSS9.2远程代码执行漏洞需优先修复，Node.js存在Brotli越界写漏洞，Go与Rust受同一批中间证书问题影响。建议按官方修复版本升级运行时，注意重新编译二进制或重建镜像，并建立资产清单与版本台账。

LiteLLM1.107.0在PyPI及Docker镜像中被植入恶意启动钩子，可窃取云平台、开发者工具及LiteLLM数据库凭据，并通过GitHub死信箱维持远程代码加载能力，事件等级被厂商定为SEV-0。建议排查受影响版本与镜像，隔离取证后重建环境，轮换所有相关凭据，并加强供应链产物完整性验证。

Node.js于2026年10月21日发布安全更新，修复10个漏洞，含Brotli解码器远程代码执行及TLS主机名校验绕过等高危问题，并移除对已泄露eMudhra证书的信任。受影响版本涉及22.x、24.x和26.x发行线，建议相关团队尽快升级至22.23.4、24.22.1或26.12.1版本，同时更新内置依赖项以规避风险。

印度CA机构eMudhra（emSign品牌）因八张中间证书私钥过于简单（从1开始试最多255次即可破解）发生严重安全事件，涉及HTTPS证书和代码签名证书。Chrome、Firefox、Apple、Microsoft等主流浏览器迅速响应封禁，eMudhra于10月18日吊销证书。对普通用户影响有限，但开发者和运维人员需及时更新运行时信任库，防止中间人攻击风险。

Node.js官方于2026年10月21日发布安全更新，修复Brotli解码器越界写漏洞CVE-2026-111497，该漏洞可导致远程代码执行，评级为高危。影响Node.js22.x、24.x、26.x多个版本分支。官方已发布修复版本，建议用户升级至22.23.4、24.22.1或26.12.1及更新版本，并重启进程或更新镜像。目前未见公开利用代码。

2026年10月21日披露三起严重安全事件：GitLab正则引擎整数溢出漏洞CVE-2026-110264影响跨度12年需立即升级；LiteLLM1.107.0遭供应链投毒已确认失陷需排查凭据；Node.jsBrotli解码器堆越界写CVE-2026-111497存在远程执行风险。建议立即升级GitLab至指定版本，轮换所有CI/CD及模型调用凭据，部署Sigma规则监控异常日志，并检查Node服务解压路径是否被利用。

Node.js突发10个安全漏洞，涵盖远程代码执行、证书校验绕过、权限绕过等类型，影响26.x/24.x/22.x版本线。高危漏洞包括Brotli解码器越界写RCE及多种TLS证书校验绕过，另有DNS空字节截断、权限模型绕过等问题。官方暂未披露技术细节及POC，建议升级至安全版本，暂无临时缓解方案。

本文报道Node.js捆绑的Brotli解码器存在严重RCE漏洞CVE-2026-111497，影响22.x、24.x和26.x系列。Imperva研究人员演示了利用恶意Brotli数据在官方构建上执行代码，Node.js已发布修复版本24.22.1。建议用户立即更新至修复版本，并限制不受信任的Brotli流量。

文档汇总了2026年10月22日前后多项网络安全事件，包括litellm供应链投毒、FortiSIEM免登录RCE、Node.js十项漏洞修复、Gentlemen勒索软件攻击、BronzeSandcastle旁加载后门、APT28入侵北约造船商、Tor出口节点劫持、Chrome修复353个漏洞、Oracle十月补丁及假AI工具窃密等。建议企业加强供应链验证、及时升级补丁、排查异常行为并强化备份与凭据管理。

深瞳漏洞实验室发布Node.js高危漏洞通告，涉及CVE-2026-105482空字节域名截断白名单绕过及CVE-2026-111497Brotli解码器代码执行漏洞，影响22.x至26.x多个版本，威胁等级高危，利用条件简单。官方已发布修复版本，建议用户尽快升级至安全版本，同时可采取关闭非必要功能、最小权限原则等临时缓解措施，并利用深信服相关产品进行资产检测与漏洞扫描。

文档介绍php与node.js同日发布安全更新，php修复两项可致未认证远程代码执行的高危漏洞，node.js公告含4项高危漏洞。文章提供漏洞成因、影响范围、修复版本及处置建议，包括资产排查、临时缓解和根本修复措施，强调尽快升级加固。

本文分析CVE-2026-111497漏洞，该漏洞位于Node.js捆绑的Brotli解码器中，属堆越界写，可致远程代码执行，影响22.x/24.x/26.x分支。Imperva在官方镜像上验证了代码执行，但利用存在门槛。修复需升级至22.23.4/24.22.1/26.12.1并重建容器镜像，同时建议排查暴露面并考虑WAF虚拟补丁过渡。

Node.js发布安全更新，修复了10个漏洞，其中CVE-2026-111497（Brotli解码器RCE）为高危漏洞，建议升级到最新版本并重启进程。其他高危漏洞包括CVE-2026-105482、CVE-2026-105483和CVE-2026-106069，均涉及TLS主机名校验绕过。建议优先升级并重启相关服务。

Node.js官方于2026年10月21日发布安全更新，修复10个漏洞，其中CVE-2026-105482为DNS解析NUL字符截断高危漏洞，可绕过域名白名单实现SSRF等攻击；CVE-2026-105481为HTTPKeep-Alive响应处理中危漏洞，可能导致响应注入。影响22.x、24.x、26.x全系列，建议升级至22.23.4、24.22.1、26.12.1，并采取过滤NUL字符、使用反向代理等临时缓解措施。

天融信阿尔法实验室监测到node.js官方10月安全更新，披露brotli解码器存在越界写入漏洞（CVE-2026-111497），可致进程崩溃、内存泄露或远程代码执行，影响22.x、24.x、26.x多个分支，建议升级至22.23.4、24.22.1、26.12.1，临时缓解可限制不可信brotli流量。

Node.js于2026年6月18日发布关键安全更新，修复12个安全漏洞，包括两个高危漏洞：CVE-2026-48933（WebCryptoAPI整数溢出导致DoS）和CVE-2026-48618（TLS主机名验证缺陷导致认证绕过）。影响22.x、24.x、26.x版本，修复版本分别为v22.23.0、v24.17.0、v26.3.1。建议立即升级并监控异常日志、审计TLS连接、避免硬编码代理凭据。

黑客通过谷歌广告冒充Node.js安装程序分发新型OxLoader恶意软件加载器，该加载器利用伪造登录页和合法云存储服务传递CastlStealer信息窃取程序，通过沙箱检查、代码混淆和内存交付等技术规避检测，主要针对美国Windows用户窃取敏感数据。

文章揭示ClickFix攻击近期演变为利用BabaDeda、LoremIpsum和Potemkin三种新型Loader的复杂威胁。这些加载器采用模块化设计、DLL白加黑、环境探测、古董软件滥用及DGA域名等高级技术实现免杀和持久化。建议用户避免在终端粘贴未知代码，企业需加强DLL劫持监控和异常流量检测。

ElasticSecurityLabs发现新型Windows加载器OXLOADER，通过恶意GoogleAds传播CASTLESTEALER窃密木马。该加载器滥用.reloc节区暂存shellcode，采用控制流平坦化、MBA混淆、自修改解密等技术规避检测，并实施反沙箱检查（CPU≥3、内存≥3GB、刷新率≥20Hz）及地理排除（CIS/俄语）。最终通过DonutLoader在内存中执行.NET载荷。建议使用ElasticDefend等高级防护阻断攻击链。

本文介绍ClaudeCode的安装与使用，包括Node.js、Git及ClaudeCode的安装步骤，通过中转站或国内大模型配置API密钥，并演示其文件操作与自动化代码审计功能，特别是对若依项目进行SQL注入漏洞审计和修复。文章末尾推广猎洞SRC挖洞培训课程。

该文档深度拆解了一个伪装成PerplexityAI的恶意Chrome扩展，该扩展利用ManifestV3高级API和域名仿冒实现搜索流量劫持。攻击者通过两跳代理模型记录用户查询并重定向，服务端代码直接打包在扩展内。文档提供了防御建议和KQL查询，强调企业应强制扩展允许列表并监测异常流量。

Yuku是一款纯Zig编写的JavaScript与TypeScript工具链，旨在构建完整的现代编译基础设施。其核心优势在于兼顾规范兼容性与极致性能，Parser已通过数万条测试用例验证，官方基准测试显示其解析吞吐量达SWC两倍、传统解析器三到十倍。此外，Yuku利用Zig的comptime特性和紧凑内存布局优化了Node.jsBinding的跨语言交互效率，实现构建阶段零C依赖。目前其解析与语义分析能力已达生产可用，建议开发者将其作为Linter或IDE语言服务的基础设施进行评估，但全面采用仍需观察其生

该工具提供了一套完整的微信小程序PC端安全评估工具链，集成了偏移自动提取、Frida注入、CDP代理、MCP工具链和AI渗透测试功能。关键发现是解决了微信更新后偏移值变化导致的注入失败问题，并提供了详细的启动流程和端口配置。可操作建议是用户需严格按照顺序启动组件，并注意Node.js版本兼容性。

本文介绍一套微信小程序全自动化渗透工具链，通过Python提取偏移量，经WMPFDebugger完成Frida注入，由e0e1-wx提供调试代理，最终经MCP协议对接ClaudeCode实现AI驱动渗透。文中详细说明了环境依赖、五步启动顺序及报错排查。建议使用者务必锁定Node.jsv20版本并严格按序启动以防连接失败。

本文分析ClaudeCode、Pi、OpenCode等AI编程Agent为何统一选择TypeScript+Node.js技术栈。核心原因包括事件循环与ReAct循环结构同构、流式输出优势、npm生态在消息平台SDK上的优势、TypeScript作为LLM母语以及动态导入实现热插拔。结论是JS/TS在AI工具开发中具有结构性优势。