PHP之后Node.js也来了…一周内重合的"网络基础设施安全周"

继PHP之后，这次轮到Node.js了。全球网络服务的两大基础技术在同一周内相继发布紧急安全补丁。Node.js项目于当地时间21日发布安全版本，修复了包括远程代码执行可能性在内的10个漏洞。这正是"PHP2Shell"补丁发布的那一天。

Node.js是构建网站后台数据处理服务器（即后端）时最广泛使用的执行环境之一。国内外许多初创企业的API服务器和网络服务都运行在其之上。这次补丁影响如此之大的原因正在于此。

已修复的漏洞中，风险等级为"高"的有4个。最引人注意的是在解压缩数据（Brotli）时发生的内存范围溢出写入缺陷（CVE-2026-111497），对于处理来自外部压缩数据的服务器，可能导致远程代码执行。此外还修复了2个可绕过安全通信（TLS）证书验证的缺陷。当IP地址用全角数字书写或主机名被宽泛解释为IP地址时，伪造服务器可能冒充真实服务器，这是一个漏洞。DNS名称中混入特殊字符（NUL）导致地址处理错误的缺陷也包括在内，这四个缺陷都针对服务器与外部之间的通信途径。

此外还修复了2个中等级别的漏洞（HTTP连接保持处理错误、密码学随机数可能重复的缺陷）和4个低级别的漏洞，并包含了OpenSSL、c-ares、SQLite、Undici等Node.js附带的核心组件的安全更新。

应对方案很简单。修复版本为26.12.1、24.22.1、22.23.4，服务器运营者只需根据所使用的版本系列更新到相应的修复版本，然后重启服务即可。如果仍在使用已停止支持的旧版本（20及以下），升级到受支持版本才是根本之策。首先要通过一条命令（node -v）检查版本。

PHP和Node.js在一周内相继出现问题，安全业界将本周称为"网络基础设施安全周"。由于构成网络基础的开源技术是免费使用的，跟进补丁成为唯一的"使用费"。正如PHP2Shell事件所显示的那样，一旦漏洞被公开，它就会立即出现在攻击者的日程表上。