Brotli 解码器漏洞波及多种 HTTP 软件并发布修复
2026/10/24 — 10/24 14:20·2 个来源（全部）·2 篇报道（全部）
核心速览 (Key Takeaways)
- Node.js 修复的 Brotli 解码器高危漏洞 CVE-2026-111497 经 Aikido Security 分析确认影响范围扩大，已更名为 HTTP2Shell，波及多种使用 Brotli 解压的 HTTP 软件，并非新增 CVE。
- 特制压缩数据可能触发异常区块切换，导致进程崩溃、内存信息泄露，或在特定条件下执行代码。
- Node.js、Bun、Python 和 Brotli 上游均已发布修复版本。
最新进展网络安全公司 Aikido Security 称原先的 Node2Shell 问题影响范围扩展到多种使用 Brotli 解压的 HTTP 软件，并将它命名为 HTTP2Shell；问题本身仍是 Brotli 解码器漏洞而非新 CVE。特制压缩数据可能触发异常区块切换，导致进程崩溃、内存信息泄露或在特定条件下执行代码，Node.js、Bun、Python 和 Brotli 上游均已发布修复版本。
- 热度指数
- 177
- 全部来源
- 2
- 全部报道
- 2
- 首报
- 7 小时前
这件事的报道 点标题看原文
网络安全公司 Aikido Security 称原先的 Node2Shell 问题影响范围扩展到多种使用 Brotli 解压的 HTTP 软件，并将它命名为 HTTP2Shell；问题本身仍是 Brotli 解码器漏洞而非新 CVE。特制压缩数据可能触发异常区块切换，导致进程崩溃、内存信息泄露或在特定条件下执行代码，Node.js、Bun、Python 和 Brotli 上游均已发布修复版本。
使用 Brotli 的开发者需尽快更新到对应修复版本。
蓝点网AI 评分 67Node.js 在 2026 年 10 月安全发布中修复 Brotli 解码器高危漏洞 CVE-2026-111497，服务器解压不可信 Brotli 数据时可能遭远程代码执行。漏洞由 OpenAI Codex Security 研究人员报告，相关修复覆盖三条受支持版本线。
涉及解码不可信数据的 Node 服务需要排查更新
DEV Community · AIAI 评分 64
同时在说的其他事
- 热度指数 1495发酵中Kimi K3.1 Pro 发布，开放权重定于 11 月 4 日19 个来源
- 热度指数 921发酵中OpenAI 前沿模型改在离线环境训练并披露软件缺陷12 个来源
- 热度指数 511发酵中OpenAI 融资尾声下调投前估值至 1.25 万亿美元9 个来源
- 热度指数 431Meta 设无投票权 C 类股票筹措 AI 资金11 个来源
- 热度指数 391DeepSeek 完成约 1000 亿元融资，宁德时代腾讯等参与8 个来源
热度怎么算的？了解口径收起
热度按 48 小时内有多少个独立来源在说这件事算：同一个来源发多条只算一次，并按 24 小时半衰期衰减，所以排前面的是很多人在说的事。
本页汇总公开订阅源，标题与摘要由模型整理，版权归原作者所有；重要信息请回原文核对。如权利人认为相关标题或摘要侵权，请通过页尾联系邮箱提供具体页面与权利依据，我们核实后会及时删除或替换。
- 爆
- 讨论快速增加
- 新
- 首报 6 小时内
- 发酵中
- 讨论仍在增加