本文由查找币安全团队整理，原始来源：BlockBeats（律动）
据 BlockBeats 消息，Node.js 项目于 10 月 21 日发布安全更新，覆盖 26.x、24.x 和 22.x 三个版本分支，修复版本分别为 26.12.1、24.22.1 及 22.23.4。查找币安全团队提醒相关开发者与运维人员关注本次更新，及时评估自身运行环境是否存在暴露风险。
漏洞概况：10 项漏洞，4 项高危
根据 Node.js 官方安全公告，本次更新共列出 10 项漏洞，按严重程度划分为：
- 高危漏洞：4 项
- 中危漏洞：3 项
- 低危漏洞：3 项
需要注意的是，各版本分支的受影响范围有所不同，用户需结合自身使用的 Node.js 版本对照公告逐项核查。
重点高危漏洞分析
CVE-2026-111497：Brotli 解码器越界写入
本次公告中最值得关注的高危漏洞为 CVE-2026-111497，涉及 Brotli 解码器的越界写入问题，可导致远程代码执行，影响 26.x、24.x 和 22.x 三个版本分支。
从攻击面来看，远程代码执行类漏洞通常意味着攻击者可在特定条件下于目标环境执行任意代码，对服务端运行环境构成直接威胁。查找币安全团队建议使用上述版本分支的用户优先排查该漏洞的修复情况。
其他高危问题
除 Brotli 解码器漏洞外，本次公告还列出以下高危问题：
- DNS 解析中的空字符处理：涉及 DNS 解析环节的输入处理缺陷
- TLS 证书主机名验证绕过：可能影响 TLS 证书主机名校验的有效性
上述问题与 CVE-2026-111497 共同构成本次更新的 4 项高危漏洞，具体受影响版本范围请以官方公告为准。
其他修复内容与依赖组件更新
除高危漏洞外，本次更新还修复了以下问题：
- 持久连接响应处理
- 随机数缓存重复
- 权限模型相关问题
同时，本次更新对以下依赖组件进行了升级：
- c-ares
- OpenSSL
- Undici
依赖组件的同步更新表明，本次安全维护不仅覆盖 Node.js 自身代码逻辑，也涉及底层网络与加密相关组件，用户升级时应确保依赖链完整更新至对应修复版本。
官方提醒：已终止支持的版本同样存在风险
Node.js 官方在公告中特别提醒，已终止支持（EOL）的版本同样可能受安全漏洞影响。这意味着仍在使用旧版本分支的用户无法通过常规更新获得修复，应尽快迁移至受支持的最新版本。
查找币安全团队建议：
- 对照官方公告确认自身使用的版本分支是否在受影响范围内
- 及时升级至 26.12.1、24.22.1 或 22.23.4 等修复版本
- 对已终止支持的版本制定迁移计划，避免长期暴露于未修复漏洞之下
- 升级后复核依赖组件版本，确保 c-ares、OpenSSL、Undici 等同步更新
背景：PHP 此前修复两项严重漏洞
本次 Node.js 安全更新并非孤例。此前报道显示，PHP 修复了两项可导致未经身份验证的远程代码执行的严重漏洞，修复版本为 8.5.12、8.4.27、8.3.36 和 8.2.35，官方敦促用户立即升级。
从 PHP 到 Node.js，近期运行环境层面的高危漏洞集中披露，反映出服务端基础设施组件持续面临安全压力。对于 Web3 项目而言，节点服务、后端 API 及各类链下服务普遍依赖此类运行环境，一旦存在未修复的高危漏洞，可能波及私钥管理、交易签名、数据接口等关键环节。
查找币安全团队观察
结合本次 Node.js 公告与近期 PHP 漏洞修复情况，查找币安全团队提示：
- 运行环境安全是 Web3 安全的基础环节。智能合约审计与链上风控之外，节点与后端服务的运行时漏洞同样可能成为攻击入口。
- 远程代码执行类漏洞应优先处置。CVE-2026-111497 等可导致远程代码执行的问题，建议在漏洞公告发布后尽快完成升级验证。
- 关注 EOL 版本风险。官方明确提示已终止支持的版本可能受漏洞影响，长期使用旧版本分支的团队应将迁移纳入安全治理计划。
- 依赖组件不可忽视。本次更新同步升级 c-ares、OpenSSL、Undici，提示用户在升级主程序时需确认依赖组件版本一致性。
查找币安全团队将持续关注 Node.js 及同类运行环境的安全动态，为社区提供及时、准确的安全资讯与风险提示。
本文由查找币整理，原始来源：BlockBeats（律动）。
原文来源：BlockBeats（律动）。