Brotli 越界写漏洞已复现，Node.js 与 Cloudflare 相继响应

Cloudflare 于 10 月 25 日发布紧急 WAF 规则集更新，关联 CVE-2026-111497（Node.js Brotli 解码器越界写入，可导致远程代码执行）。

研究员利用两个严重PHP2Shell漏洞在19.28小时内攻破测试服务器，赢得比特币挑战赛并获两千美元奖金，漏洞CVSS评分9.2，官方已发补丁。HTTP2Shell漏洞影响超出HTTP范畴，波及.NET、FFmpeg、ClickHouse及Apache Arrow Brotli解码器，可致崩溃、内存损坏或死循环，须核查厂商补丁并排查解压链路。

Node.js Brotli 解码器被披露存在可远程代码执行的漏洞 CVE-2026-111497，且已被复现。原文仅给出漏洞编号与"已复现"结论，未披露受影响版本、CVSS 评分、CWE 编号、PoC 细节或修复版本，企业级用户需等待后续权威情报与解决方案。

Node.js 随包 Brotli 解码器被发现越界写入漏洞 CVE-2026-111497（CWE-787、CWE-252），上游缺陷位于 Google Brotli 的 c/dec/decode.c，可导致远程代码执行。解码器在遇到非法的块类型切换时将其

10月21日爆出多项紧急安全事件：PHP 紧急发布修复 CVE-2026-109618 与 CVE-2026-109619（CVSS 9.2，可致未认证远程代码执行），Node.js 更新 26.12.1 / 24.22.1 / 22.23.4 修复十个漏洞（含四个高危），Apache Tomcat 亦发布 11.0.27 等三个修复版本。

Node.js 于 10 月 21 日发布 22.x、24.x 和 26.x 安全更新，修复高危漏洞 CVE-2026-111497：Brotli 解码器在处理畸形输入时发生越界写入，可导致内存泄露或任意代码执行，同时修复另外九个问题，包括两个高危 TLS 主机名校验绕过。

Node.js 为 26.x、24.x、22.x 分支发布 26.12.1、24.22.1、22.23.4 版本，修复十个漏洞，其中四个为高危。

Node.js 项目将于 10 月 21 日或稍后发布 26.x、24.x、22.x 三个发布线的安全更新，修复 Brotli 解码器越界写入（out-of-bounds write）漏洞，该漏洞可被远程利用实现代码执行（RCE），三个发布线的最高严重级别均为 HIGH。已停止支持（End-of-Life）的版本同样受影响，官方建议用户升级至受支持的版本。