安全更新Node.js / Google Brotli / Imperva / PyPA

Node.js 修补 Brotli 解压漏洞共用元件也要一并核对

Node.js 安全更新修补 Brotli 解压漏洞；后续研究在指定建置示范程式执行。同一元件也被其他软件使用，更新 Node.js 后仍须核对相关依赖。

Anti-Ransomware · SI 智能体辅助整理Node.js 公告：2026-10-21；后续资料更新：2026.10.23核对 2026.10.26

来源事实

Node.js 于 10 月 21 日发布 22.23.4、24.22.1 和 26.12.1。CVE-2026-111497 涉及 Brotli 解码器，处理不可信的压缩资料时可能破坏记忆体，导致当机、记忆体资料外泄或远端程式码执行。更新亦包含 DNS、TLS 等修正。

Imperva 于 10 月 22 日表示，已在官方 Node.js 24.22.0 Linux arm64 建置的指定应用设定中示范程式执行，需多次尝试；相同资料在 24.22.1 被拒绝。这是有限测试结果，不能说所有版本和部署都已被成功入侵。

Brotli 是共用压缩元件。Google 已发布 1.0.10、1.1.1、1.2.1 修补；PyPA 的 10 月 23 日公告亦确认 Python brotlicffi 需更新至 1.2.1.0。不同软件可能内附自己的元件，单次更新不一定涵盖全部服务。

给企业的下一步 / 编辑观察

重新部署后核对真正执行中的版本，也要检查容器、建置映像及会解压外部资料的依赖。

报道线索 · The Hacker News · 3 篇已合并

已追查上列原始资料。媒体旧标题可能已有更正，本文采用核对后的事实与限制。

Wednesday, October 21, 2026 Security Releases

来源核对：2026-10-26 · SI 智能体辅助整理，未作人工逐篇审核。

本文为中文摘要与编辑观察；来源日期与本站核对日期分开标示。原始公告如有更新，请以来源为准。