Node.js 於台北時間 10 月 21 日發布安全更新，現行分支 26.x、24.x、22.x 分別升級至 26.12.1、24.22.1、22.23.4，一次修復 10 項漏洞（4 高、3 中、3 低），最高嚴重度為 HIGH；其中高危 CVE-2026-111497 涉及 Brotli 解碼器越界寫入，官方標示可導致遠端程式碼執行。
（前情提要：OpenAI 證實兩臺員工電腦遭 TanStack 供應鏈攻擊波及，ChatGPT、Codex macOS 用戶須在 6/12 前更新）
（背景補充：OpenAI GPT‑5.6 Sol 揪出 PHP 重大漏洞！影響約七成網站、砸 10 億美元補貼防守端）
開源執行環境 Node.js 於台北時間 10 月 21 日釋出安全更新，涵蓋現行維護線 26.x、24.x 與 22.x，修復版本分別為 26.12.1、24.22.1 與 22.23.4。據 Node.js 官方安全公告，本次共修補 10 項漏洞，嚴重度分布為 4 高、3 中、3 低，各分支最高嚴重度皆為 HIGH；官方並提醒，生命週期結束（EOL）版本在安全釋出時通常同樣受影響，應盡速改用受支援版本。
這波更新落在開發者工具鏈高度依賴 Node.js 與 npm 生態的當下：前端建置、後端 API、AI Agent 執行環境，往往共用同一執行時期。對維運與資安團隊而言，重點不在追逐漏洞細節，而是核對分支、鎖定修復版號，並同步盤點連線層、壓縮與憑證驗證路徑是否已一併升級。
四項高危：Brotli、DNS 與 TLS 主機名驗證
公告列舉的四項高危中，CVE-2026-111497 指向 Brotli 解碼器越界寫入，官方描述可導致遠端程式碼執行，影響 26.x、24.x 與 22.x。其餘高危包括：DNS 解析在名稱含空字元時遭截斷（CVE-2026-105482，三分支）；以全形數字書寫 IP 時的 TLS 憑證主機名驗證繞過（CVE-2026-105483，影響 26.x 與 24.x）；以及主機在寬鬆解析後對應到 IP 時的 TLS 主機名驗證繞過（CVE-2026-106069，三分支）。值得注意的是，並非每一項高危都覆蓋全部現行分支，升級前應對照自家線上版本與公告影響範圍。
中低危與相依元件：持久連線、亂數快取與權限模型
中嚴重度項目涵蓋持久連線（keep-alive）在請求送出前即處理回應（CVE-2026-105481）、非正規 IPv4 主機名憑證驗證不當（CVE-2026-106072），以及 crypto.randomUUID()／randomInt() 亂數快取寫入使用者端啟動快照與單一可執行檔（SEA）後，不同程序重複相同值（CVE-2026-106074），三者皆影響三分支。低嚴重度則包括 ZIP 標頭驗證失敗後回傳攻擊者可控前綴位元組（CVE-2026-106070，僅 26.x）、權限模型檔案系統萬用字元過度授權（CVE-2026-106071，僅 26.x），以及透過 fs.realpathSync 繞過權限模型（CVE-2026-106073，三分支）。
除核心程式碼外，官方同步更新相依元件以因應已公開漏洞：c-ares、根憑證套件（含 eMudhra 中繼 CA 相關處置）與 Undici 適用三分支；OpenSSL 更新見於 24.x 與 22.x；SQLite 更新見於 22.x。各分支發行說明另標示 c-ares 升至 1.34.9、OpenSSL 至 3.5.9，以及 Undici 分別至 8.12.2（26.x）、7.30.1（24.x）、6.29.1（22.x）等版本。
同日 PHP 亦修未驗證遠端程式碼執行，開源執行層壓力升高
同一天，PHP 官方亦發布安全更新，將 8.5.12、8.4.27、8.3.36、8.2.35 定為修復版，處理兩項可導致未經驗證遠端程式碼執行的重大問題（CVE-2026-109618、CVE-2026-109619）。動區稍早亦追蹤 OpenAI 模型協助揪出 PHP 相關風險的報導脈絡。對同時維運 Node.js 與 PHP 服務的團隊來說，10 月 21 日更像是「執行層與語言執行時期」同步加壓的一天：先完成官方修復版部署，再回頭檢視反向代理、壓縮協商與憑證鏈設定，通常比深究單一 CVE 的技術敘事更務實。
Node.js 仍是雲端服務、加密貨幣交易介面與 AI 代理工具鏈的常見底座。這次安全釋出把嚴重度頂標定在 HIGH，並明確點名 Brotli 路徑與 TLS／DNS 驗證面，顯示連線與內容解碼仍是攻擊面的熱點。對開發者而言，最短路徑是依分支升至 26.12.1、24.22.1 或 22.23.4，並確認容器映像、CI 映像與本機工具鏈不再鎖定舊版；對仍停在 EOL 線上的系統，官方建議盡速遷至受支援版本，以免修補視窗外的風險被默默留下。
📍相關報導📍
Claude Code 更新拋掉 JS 改原生二進制，告別 Node.js 依賴
OpenAI 開源 Codex Security 掃描工具怎麼用？10 分鐘上手
