安全公司发布Node2Shell漏洞企业应急指南
Node.js Brotli解压模块存在越界写入缺陷，官方评级为高危，未打补丁的22.x、24.x、26.x版本均受影响。
韩国安全企业티오리于2026年10月26日宣布，已完成对Node.js运行时漏洞Node2Shell（CVE-2026-111497）的内部验证，并公开面向企业的紧急应对指南。该漏洞源于Node.js的Brotli解压模块中的越界写入缺陷。
根据公开说明，攻击者无需认证即可发送构造的Brotli数据，导致服务器宕机、内存泄露，甚至远程执行代码。Node.js官方将该漏洞的危险等级评定为“高”。
受影响的是尚未安装最新安全补丁的Node.js 22.x、24.x和26.x版本线。Node.js安全团队已发布22.23.4、24.22.1和26.12.1及以上版本的补丁，并建议用户尽快更新。
临时缓解与免费检测
티오리建议在Nginx等反向代理或应用层采取临时缓解措施。该公司还运营在线诊断服务nodejsguard.io，用户只需输入服务地址即可免费检查漏洞暴露风险。
详细分析与检查指南可在Xint官方技术博客查阅。相关消息由dailysecu.com报道。
快速问答
哪些Node.js版本受Node2Shell影响？
未安装最新安全补丁的Node.js 22.x、24.x和26.x版本线。
应该升级到哪个版本？
Node.js安全团队建议更新至22.23.4、24.22.1或26.12.1及以上版本。
有没有免费的漏洞检测方式？
티오리运营的nodejsguard.io可在线免费检测漏洞暴露风险，只需输入服务地址。