## Node.js發布安全性更新修補10項漏洞，其中CVE-2026-111497可導致遠端程式碼執行，籲儘速更新

- 種別: news
- 関連技術: nodejs
- CVE: CVE-2026-111497, CVE-2026-105482, CVE-2026-105483, CVE-2026-106069
- 公開日時: 2026-10-22T09:12:00.000Z
- 情報源: TWCERT/CC 資安新聞 (https://www.twcert.org.tw/tw/cp-104-11309-2266c-1.html)
- パーマリンク: https://vulnpulse.app/items/twcert-news-a317269fb237

Node.js官方於2026年10月21日發布安全性更新，針對22.x、24.x及26.x版本線共修補10項漏洞，其中4項為高風險，包含可導致遠端程式碼執行之Brotli解碼器越界寫入漏洞（CVE-2026-111497）。數位發展部資通安全署亦於10月22日發布 新聞稿 ，呼籲各機關與企業儘速完成更新。Node.js常見於後端服務、容器映像檔、網頁前端工具鏈及部分AI agent命令列工具中，建議企業盤點環境中之Node.js版本並儘速更新。 Node.js 官方公告 Node.js官方於2026年10月21日發布22.23.4、24.22.1及26.12.1版本，共修補10項漏洞，包含高風險4項、中風險3項及低風險3項。其中高風險漏洞如下： CVE 編號 漏洞說明 影響版本線 CVE-2026-111497 Brotli解碼器存在越界寫入（Out-of-Bounds Write）缺陷，可導致遠端程式碼執行 22.x、24.x、26.x CVE-2026-105482 dns.resolve函式處理含NUL字元之名稱時，會將名稱截斷 22.x、24.x、26.x CVE-2026-105483 IP位址以全形數字書寫時，可繞過TLS憑證之主機名稱檢查 24.x、26.x CVE-2026-106069 主機名稱可被寬鬆解析為IP位址時，可繞過TLS憑證之主機名稱檢查 22.x、…