Google Brotli漏洞恐造成資訊洩漏及阻斷服務，.NET、PHP與Linux陸續修補

Google開發的開源資料壓縮程式庫Brotli存在越界寫入漏洞CVE-2026-111497，攻擊者可透過特製壓縮資料觸發記憶體破壞，導致阻斷服務或資訊洩漏。資安業者Imperva先前公布名為Node2Shell的漏洞研究結果，證實攻擊者在特定條件下可利用受影響的Node.js版本遠端執行程式碼。由於Brotli也廣泛用於其他軟體的資料處理功能，繼Node.js發布安全更新後，微軟、PHP開發團隊及多個Linux發行版也陸續推出修補。

資安業者OpenSourceMalware調查發現，Python套件Brotli及brotlicffi也受到影響，兩者已分別於10月22日及23日發布修補版本。微軟則於10月25日發布.NET安全更新，修補版本包括.NET 8.0.33、9.0.22、10.0.14及.NET 11 RC3，.NET Framework則不受影響。企業若使用主機所安裝的.NET執行環境來執行應用程式，需更新執行環境並重新啟動應用程式；自含式應用程式及相關容器則須重新建置及部署。

PHP開發團隊於10月26日重新建置並發布4個Windows套件版本，包括PHP 8.5.12-1、8.4.27-1、8.3.36-1及8.2.35-1，將內含的Brotli更新至1.2.1版。在Windows環境中，PHP的cURL擴充功能若啟用HTTP回應自動解壓縮，就可能使用受影響的Brotli解碼器，但這項功能預設未啟用。至於在Linux環境中使用系統Brotli程式庫的PHP，則須透過各發行版提供的套件更新修補。

Linux各發行版的修補進度則有所不同。根據Debian、Ubuntu、Alpine Linux及SUSE的安全追蹤資訊，Debian 12及13、Ubuntu 22.04至26.10，以及Alpine Linux部分版本和openSUSE Tumbleweed已提供Brotli修補套件。不過，Debian部分版本的Node.js套件仍列為受影響，企業須另外確認相關套件的修補情況。

紅帽（Red Hat）則將RHEL 7至10列為受影響產品，根據10月26日公布的安全公告，當時仍在評估相關影響並準備修補。對於尚未取得修補的系統，紅帽建議限制接收來自不受信任來源的Brotli壓縮資料，必要時可透過反向代理伺服器或負載平衡設備，移除相關HTTP流量中的Content-Encoding: br標頭，或拒絕相關請求與回應。

Brotli漏洞也可能透過圖片解碼等非HTTP資料處理功能觸發。資安業者JFrog於10月25日公布研究結果，研究人員在測試中利用特製JPEG XL圖片，透過FFmpeg使用的libjxl解碼元件觸發記憶體破壞；另以特製HTTP請求使ClickHouse伺服器崩潰。研究人員也在使用PyArrow處理特製壓縮資料時，發現Brotli解壓縮程序可能陷入無限迴圈，持續耗用CPU資源。