Node.js 修复高危远程代码执行漏洞 Node2Shell
Node.js 团队于 2026年10月21日发布安全更新，修复 Brotli 解压功能中的越界写入缺陷，Express 5 服务可能自动受影响。
据 dailysecu.com 报道，Node.js 中被发现一个名为 Node2Shell 的高危远程代码执行漏洞（CVE-2026-111497），Node.js 团队已于 2026年10月21日发布安全更新，并将该漏洞评级定为 High。
该漏洞位于 Node.js 的 Brotli 解压功能中，可导致越界内存写入。Imperva 的研究人员已在真实环境中演示了远程代码执行。
由于 Express 5 Web 服务会自动经过相关解压路径，即使开发者没有直接使用 Brotli，也可能受到影响。此外，Node.js 内置的 fetch() 以及 axios 等库在处理来自外部服务器的压缩响应时，同样存在暴露风险。
修复后的版本为 22.23.4、24.22.1 和 26.12.1。更新后必须重启 Node.js 进程，容器镜像也需要重新部署。
该漏洞由 OpenAI Codex Security 的 Khai Tran 和 Sylvie Mayer 发现并报告。
背景
近期 PHP 中也披露了一个名为 PHP2Shell 的严重安全漏洞。
快速问答
Node2Shell 漏洞影响了哪些 Node.js 版本？
修复版本为 22.23.4、24.22.1 和 26.12.1，使用这些版本之前的用户需要更新。
更新后需要做什么？
必须重启 Node.js 进程，容器镜像需要重新部署。
不使用 Brotli 也会受影响吗？
会。Express 5 Web 服务可能自动受影响，内置 fetch() 和 axios 等库处理压缩响应时也可能暴露。