Google Brotli解码器曝出严重内存损坏漏洞，影响Node.js、Python、Bun、Envoy等主流软件，Imperva已证明可在Node.js上远程代码执行，你的应用可能正在解压恶意数据。

在广泛应用于网站及服务器开发的Node.js中，发现了一个高风险漏洞。当处理攻击者精心构造的Brotli压缩数据时，该漏洞可能导致远程代码执行。Node.js项目组已针对受影响的22、24及26版本发布了安全补丁，国内安全行业也已展开紧急响应。

IT时代网10月26日消息，Node.js被披露存在一处名为Node2Shell的高危漏洞，攻击者可经Brotli压缩解压模块在无需身份验证的情况下远程执行恶意代码，或导致服务器异常终止。Node.js开发团队已评定其风险等级为高，并向受影响版本发布安全补丁。该漏洞源于Brotli模块在解压过程中处理超出已分配内存范围的数据时引发程序内存损 ...

IT之家 10 月 21 日消息，开源 JavaScript 运行时环境 Node.js 今日针对 26.x、24.x 和 22.x 系列版本发布安全更新，修复 10 余个安全漏洞，包含 4 个高危漏洞。 IT之家附本次更新修复漏洞如下： 该漏洞影响 ...

快科技10月22日消息，全球互联网基础设施遭遇连环安全冲击，先是印度大型数字证书认证机构eMudhra曝出私钥事故，随后PHP曝出隐藏10年的高危漏洞，Node.js也发布了最高严重级别安全更新。印度CA ...

根据OpenAI和Patch the Planet的数据，Brotli库的一个漏洞使得通过恶意压缩数据实现未经认证的远程代码执行，促使新的Brotli发布、发布CVE以及Node.js和Bun等项目的下游安全更新。 OpenAI 利用人工智能代理进行的红队行动发现了 Brotli 压缩库中未认证的远程代码执行漏洞，该库被 Node.js、Bun 和 Envoy 等软件所包含。该漏洞允许攻击者通过发 ...

【IT时代网·2026年10月26日独家快讯】凌晨三点，东京某云服务商的监控大屏突然疯狂闪烁——37台生产服务器在毫秒级内接连‘断联’；同一时刻，法兰克福一家金融科技公司的API网关开始返回502错误，日志里只留下一行诡异的堆栈：brotli_dec_state_decompress+0x1a8……这不是黑客攻防演练，也不是DDoS风暴，而是一场由AI智能体率先嗅到、人类工程师火速围剿的‘静默核爆 ...

10月21日晚间，Railway 检测到存储客户环境变量的系统出现异常活动。初步调查显示，未经授权的第三方可能访问了加密的环境变量，并获取了部分变量的解密后明文内容。这些变量通常存放 API 密钥、数据库密码和私有镜像仓库凭证，对于许多使用 Railway 部署 AI 应用的开发者而言，这意味着 Stripe、OpenAI、Anthropic 等服务的密钥可能已经外泄。

Theori已完成对Node.js严重漏洞“Node2Shell”（CVE-2026-111497）的复现验证，并发布面向企业和机构的紧急应对建议。该漏洞由Brotli解码模块越界写入引发，可能导致拒绝服务、内存泄漏，严重时可被利用实现远程代码执行。

全球70%网站使用的编程语言“PHP”之后，主要网络服务运行工具“Node.js”也被曝存在致命安全漏洞。黑客无需密码，仅发送一个经过构造的压缩文件，即可远程控制服务器。

根据 OpenAI 通过 Greg Brockman 和 Patch the Planet 的报道，广泛使用的 Brotli 库中的远程代码执行漏洞影响了 Node.js、Bun 和 Envoy 等工具，相关修复已发布并分配了 CVE。

从 10 月 21 日晚到 22 日，不到一天时间里，四起彼此独立的安全事件在四个不同层面同时炸开：撑起全球约七成网站的 PHP、无数微服务和 AI 工具赖以运行的 Node.js 运行时、浏览器地址栏那把"小锁"背后的证书信任链，以及许多开发者用来部署项目的云平台 Railway。它们各自成因不同，却在这么短的窗口里叠加，让人格外直观地感到：互联网的底座，正在同时漏风。 一 · PHP：最高危漏 ...