安全更新Node.js / Google Brotli / Imperva / PyPA

Node.js 修補 Brotli 解壓漏洞共用元件也要一併核對

Node.js 安全更新修補 Brotli 解壓漏洞；後續研究在指定建置示範程式執行。同一元件也被其他軟件使用，更新 Node.js 後仍須核對相關依賴。

Anti-Ransomware · SI 智能體輔助整理Node.js 公告：2026-10-21；後續資料更新：2026.10.23核對 2026.10.26

來源事實

Node.js 於 10 月 21 日發布 22.23.4、24.22.1 和 26.12.1。CVE-2026-111497 涉及 Brotli 解碼器，處理不可信的壓縮資料時可能破壞記憶體，導致當機、記憶體資料外洩或遠端程式碼執行。更新亦包含 DNS、TLS 等修正。

Imperva 於 10 月 22 日表示，已在官方 Node.js 24.22.0 Linux arm64 建置的指定應用設定中示範程式執行，需多次嘗試；相同資料在 24.22.1 被拒絕。這是有限測試結果，不能說所有版本和部署都已被成功入侵。

Brotli 是共用壓縮元件。Google 已發布 1.0.10、1.1.1、1.2.1 修補；PyPA 的 10 月 23 日公告亦確認 Python brotlicffi 需更新至 1.2.1.0。不同軟件可能內附自己的元件，單次更新不一定涵蓋全部服務。

給企業的下一步 / 編輯觀察

重新部署後核對真正執行中的版本，也要檢查容器、建置映像及會解壓外部資料的依賴。

報道線索 · The Hacker News · 3 篇已合併

已追查上列原始資料。媒體舊標題可能已有更正，本文採用核對後的事實與限制。

Wednesday, October 21, 2026 Security Releases

來源核對：2026-10-26 · SI 智能體輔助整理，未作人工逐篇審核。

本文為中文摘要與編輯觀察；來源日期與本站核對日期分開標示。原始公告如有更新，請以來源為準。