Brotli「Node2Shell」漏洞促使.NET、PHP與Node.js緊急修補
· 資安 · 美國
Google的Brotli解碼器函式庫出現一項嚴重的越界寫入漏洞，被以Node2Shell、HTTP2Shell、Broccoli2Shell及CVE-2026-111497等名稱追蹤，迫使各大軟體堆疊緊急修補。該漏洞可造成記憶體損毀，可能讓攻擊者執行任意程式碼或存取敏感資料，影響範圍包括內建於Node.js、微軟.NET與PowerShell以及Python套件中的Brotli；在PHP中，則可透過cURL擴充功能在解壓縮資料時觸及。 微軟發布緊急.NET安全更新，PHP專案則在先前Windows修正僅五天後，重建PHP 8.2至8.5的官方Windows套件。Node.js與Python套件同樣受影響，該漏洞也被列入本週大量掃描的遠端程式碼執行漏洞之列。資安團隊正面臨另一輪跨執行環境與語言生態系的緊急修補週期。
為什麼重要：由於Brotli內建於網頁伺服器、桌面軟體與工業產品所用的執行環境及語言套件中，單一解碼器漏洞會讓大量企業基礎設施同時暴露於風險。
重點
- 該漏洞是Google Brotli解碼器中的越界寫入問題，可能導致程式碼執行
- PHP重建8.2至8.5版Windows套件以修補CVE-2026-111497
- 該漏洞以多個名稱出現：Node2Shell、HTTP2Shell與Broccoli2Shell