[CVE-2026-111497] Brotli 缓冲区溢出漏洞，不止 NodeJS 中枪

Ref: https://www.aikido.dev/blog/python-packages-vulnerable-node2shell-brotli-cve-2026-111497

还记得前两天的 NodeJS 安全更新吗？

不用 PHP 所以没受漏洞影响？那你用 NodeJS 不？ 不要因为没用 PHP 就沾沾自喜，AI 挖洞时代一个都跑不掉。 NodeJS 发布 v22.23.4, v24.22.1, v26.12.1 修复了4个高危漏洞和若干中低危漏洞。各个漏洞影响范围有区别，不是每个都影响所有版本，具体参见官方公 AstroProfundis·综合·235 次阅读·10 条回复·3 天前

这里面涉及 RCE 的高危漏洞 CVE-2026-111497 (CVSS 9.2 CRITICAL) 并不完全是 NodeJS 自己的问题，而是源自基础库 libbrotli 的漏洞。除了 NodeJS, 至少还有 Python, C++, bun, Envoy 等已确认受到影响。理论上使用了 libbrotli 的任何软件都可能受影响，包括启用的 brotli 的 nginx 等，列表中甚至有 curl. 因此现在这个漏洞也被叫做 HTTP2Shell, 不过也有很多评论认为这个名字有哗众取宠之嫌。

虽然暂时还没有看到通用的漏洞利用案例，但有 AI 加持，针对性攻击应该不需要太久。

A buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0 on all platforms allows a remote unauthenticated attacker to corrupt adjacent decoder state memory, disclose sensitive memory contents, cause a denial of service, or potentially execute arbitrary code using a crafted Brotli-compressed stream.

受影响版本为 Brotli 库 1.0.3 到 1.2.0, 用户需要更新到最新的 1.0.10, 1.1.1 或 1.2.1.