谷歌Brotli库漏洞CVE-2026-111497已修复
Imperva在Node.js 24.22.0上演示了代码执行，Node.js与谷歌Brotli随后发布修复版本。
谷歌Brotli压缩库中被发现一个编号为CVE-2026-111497的漏洞，在解压畸形输入时可能发生越界内存写入。据dailysecu.com报道，Imperva的研究人员将该漏洞命名为Node2Shell，并在面向Linux ARM64的官方Node.js 24.22.0上演示了代码执行。
根据已公布的信息，利用该漏洞可导致程序撞车、泄露内存内容，某些情况下还可造成远程代码执行。Imperva的演示通过两条路径实现：来自外部服务器的压缩响应，以及压缩的请求体。成功利用需要多次尝试，且未在其他操作系统或其他产品上证实代码执行。
Node.js于10月21日发布修复版本22.23.4、24.22.1和26.12.1。谷歌Brotli也在1.0.10、1.1.1和1.2.1版本中提供了安全修复。已公开材料中尚无该漏洞在真实环境中被利用的报告。
受影响范围
在启用Brotli解压时，Envoy和Istio可能受到影响。在Python中，如果安装了Brotli或brotlicffi包，HTTP库会自动使用它们解压响应。
Brotli是一种用于减小网页与通信数据体积的压缩技术。
快速问答
CVE-2026-111497影响哪些产品？
该漏洞位于谷歌Brotli压缩库中，Imperva在Node.js 24.22.0上演示了代码执行；启用Brotli解压时Envoy和Istio也可能受影响。
修复版本有哪些？
Node.js于10月21日发布22.23.4、24.22.1和26.12.1；谷歌Brotli的安全修复出现在1.0.10、1.1.1和1.2.1版本中。
该漏洞是否已被实际利用？
已公开材料中尚无真实环境中利用该漏洞的报告。