CVE-2026-111497：Node.js Brotli 解码器漏洞
概述
CVE-2026-111497 是涉及 Node.js 所用 Brotli 解码器的越界写入漏洞。Node.js 官方将其列为高危（High），可能导致远程代码执行（RCE）。Brotli 是一种压缩格式；应用处理攻击者可控的 Brotli 压缩数据并进行解压时，可能暴露相关攻击面。不能仅凭安装了 Node.js 就认定漏洞已被利用。
公告与修复日期
Node.js 于 2026 年 10 月 21 日发布包含该漏洞的安全公告，并发布修复版本。此日期指 Node.js 公告和安全版本的发布日期，不等同于漏洞发现日期或 Brotli 上游首次披露日期。
影响与修复版本
官方列出的受影响分支为 Node.js 22.x、24.x、26.x，本次修复版本如下：
| Node.js 分支 | 本次修复版本 |
|---|---|
| 22.x | 22.23.4 |
| 24.x | 24.22.1 |
| 26.x | 26.12.1 |
这些是本次修复的版本节点；后续应使用对应受支持分支包含修复的更新版本。停止维护的旧分支不能因未列在此表中就视为安全。
处理建议
- 核对线上实际运行的 Node.js 版本，以及应用和依赖是否会解压不可信的 Brotli 数据。
- 更新 Node.js 运行环境至包含修复的版本，重新构建相关容器镜像并重启或重新部署服务。
- 更新后核实服务实际加载的运行时版本；仅修改 package.json 或更新 JavaScript 依赖，不能替代运行时升级。
与 PHP 漏洞事件的区别
本漏洞与 PHP 的 CVE-2026-109618、CVE-2026-109619 是不同事件。它们的运行环境、触发机制及修复版本应分别核对。