共 3 篇。
美國 CISA 確認 Adobe Commerce 的 PolyShell 漏洞（CVE-2026-48356）與 Google Brotli 解碼器漏洞（CVE-2026-111497）已遭主動攻擊。Sansec 觀察到攻擊者利用 PolyShell 入侵數百個電商網站，ELLIO 偵測到 Brotli 野外利用流量。91% 雲端環境有 Brotli 漏洞風險,82% 有公開暴露的 Node.js 實例。
4 可證明2 推論3 缺口繼續閱讀 →
Google Brotli 解碼器的記憶體損壞漏洞 CVE-2026-111497 影響所有使用這段 C 程式碼的軟體,包括 Node.js、Bun、Python Brotli 與 brotlicffi 套件、Envoy 與 Istio 代理。精心設計的 Brotli 壓縮資料能覆寫緩衝區邊界外的記憶體,造成崩潰、記憶體洩漏或執行攻擊者控制的程式碼。Imperva 已展示在 Node.js 上執行程式碼的利用,但其他軟體尚未被證實可利用。這個漏洞在 2 月已修正但未被標記為安全問題,直到 10 月 21 日才統一發布修補。因為每個軟體都內嵌自己的 Brotli 解碼器副本,每個都必須各自更新。
9 可證明3 推論2 缺口繼續閱讀 →
2026 年 10 月 21 日，Node.js 同時發布 22.23.4、24.22.1、26.12.1，最重的是 Brotli 解壓縮器的越界寫入，官方標題直接寫「可遠端執行程式碼」。三條線都有修，Node 20 已經停止支援、不會修。這篇拆開哪些伺服器真的在射程內、為什麼在 package.json 寫了 24.x 還不等於已經修好，以及我們自己做了什麼、還沒做什麼。
3 可證明4 推論3 缺口繼續閱讀 →