不只影響Node.js，Node2Shell漏洞恐波及其他開發工具及應用程式

澳洲科技媒體iTnews近期報導，Node.js日前修補的高風險漏洞Node2Shell，漏洞編號為CVE-2026-111497，可能也影響其他開發工具及應用程式。

Node2Shell漏洞實際上存在於Google開發的Brotli程式庫，而Node.js內建這項元件，因此受到影響。資安業者OpenSourceMalware共同創辦人兼技術長Paul McCarty調查發現，Python、Go、.NET及Perl等軟體生態系都有程式庫或應用程式採用Brotli，瀏覽器、桌面應用程式與基礎架構軟體也有使用。其中，Python套件Brotli及brotlicffi已確認使用受影響的解碼器，分別於10月22日及23日發布修補版本。由於部分產品自行內建Brotli程式庫，企業即使已更新Node.js或作業系統套件，仍可能有其他軟體使用尚未修補的Brotli版本。根據McCarty的調查，Chrome、Firefox及Envoy等產品已修補相關問題。至於其他軟體是否受到影響，仍取決於其採用的Brotli版本，以及是否會解壓縮不受信任的資料。

這項漏洞出現在Brotli負責解壓縮資料的解碼器，攻擊者若能讓使用受影響版本的應用程式解壓縮特製資料，可能觸發越界寫入，造成記憶體損壞，甚至遠端執行程式碼。這項漏洞的CVSS 4.0風險分數為9.2分。資安業者Miggo追查漏洞的程式碼歷史，發現造成問題的程式碼於2018年2月26日加入Brotli。上游專案雖然已在2026年2月27日修正相關程式碼，但當時並未確認這是安全漏洞，直到10月21日才發布包含修正內容的正式版本。這段時間差顯示，上游程式碼已經修正，不代表使用該元件的軟體已經取得修補。

Node.js已於10月21日發布安全更新，修補Brotli解碼器的越界寫入漏洞，更新版本包括22.23.4、24.22.1及26.12.1。臺灣電腦網路危機處理暨協調中心（TWCERT/CC）也發布安全公告，提醒企業盤點後端服務、容器映像檔、網頁前端工具鏈，以及部分AI代理命令列工具使用的Node.js版本，並儘速完成更新。對於其他內建Brotli程式庫的軟體，企業也應確認是否使用受影響的版本，並依產品安全公告完成修補。