【风险提示】天融信关于Node.js Brotli解码器远程代码执行漏洞(CVE-2026-111497)的风险提示

天融信应急响应
天融信应急响应

天融信阿尔法实验室

2026年10月23日 23:54
北京

去阅读

1背景介绍

近日，天融信阿尔法实验室监测到Node.js官方发布了10月安全更新，其中包含一个已证实可被利用的高危漏洞。Node.js是广泛用于Web服务、后端接口及开发工具的JavaScript运行环境，也是支撑现代互联网应用与软件开发生态的重要基础设施。建议所有属于受漏洞影响版本的用户，立即启动针对该漏洞的防御工作。

2漏洞描述

Node.js内置的 Brotli 解码器存在一个缺陷，在处理格式错误的压缩数据时，可能向内部缓冲区边界之外写入数据。解码器在处理畸形压缩数据时，会将无效的数据块切换错误误判为需要更多输入，导致数据持续写入一个8字节的内部缓冲区，触发越界写入。攻击者若能使应用通过node:zlib解压其构造的Brotli数据，可能造成进程崩溃、敏感内存泄露，甚至是远程代码执行。

3漏洞编号

CVE-2026-111497

4漏洞等级

高危

5受影响版本

22.x < Node.js < 22.23.4

24.x < Node.js < 24.22.1

26.x < Node.js < 26.12.1

6修复建议

6.1 更新升级

通过升级至官方发布的安全版本，以修复该漏洞。目前官方为各个分支提供的安全版本为22.23.4、24.22.1、26.12.1。

6.2 升级修复

为临时缓解该漏洞威胁，如条件允许，在完成更新前请暂时限制受影响路径上的不可信Brotli流量。要彻底解决问题，仍需要更新 Node.js至安全版本。

7声明

天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。

天融信

阿尔法实验室

长按二维码关注我们