nodejs 之 Brotli 解码器漏洞（CVE-2026-111497）修复指北

随着ai大军的加入，感觉这波漏洞披露还要持续一段时间，要疯了，根本修不过来。这不nodejs也出漏洞了，不出意外又可以rce，CVE-2026-111497 就像是“Brotli 拆快递时存在一个严重的拆包漏洞”：攻击者准备一个特殊的压缩包，服务器一旦自动帮他解压，就可能把程序的内存搞坏，严重时甚至能够控制服务器。

漏洞概述 (CVSS v4.0 : 9.2  高危)

精心构造的 Brotli 压缩数据可导致内存损坏，进而引发崩溃、信息泄露，甚至远程代码执行（RCE）。

受影响软件包括：

• Node.js
• Bun
• 配置了 Brotli 解压的 Envoy Proxy
• 配置了 Brotli 解压的 Istio

任何将攻击者可控数据传入受影响 Google Brotli 解码器的应用都可能受影响（如压缩的 HTTP 请求体、从不可信服务器获取的响应、压缩文件等）。仅使用 Brotli 进行出站压缩（不解码）通常不受影响。

已修复版本

临时缓解措施（无法立即升级时）

禁用对不可信数据的 Brotli 解压，同时可继续使用 gzip、deflate 等其他压缩格式。

• 入站请求：在代理/中间件/解析器解压前，拒绝 Content-Encoding: br 的请求。
• 出站/获取的响应：在 HTTP 客户端中禁用自动 Brotli 解压。
• Envoy / Istio：禁用 Brotli 解压过滤器（保留 gzip/zstd）。
• 文件处理等其他路径：暂停对不可信 Brotli 数据的处理。

修复建议

1. 立即升级到上述修复版本并重启/重新部署。
2. 检查嵌入式运行时（如 Electron）、原生绑定、字体解码器等可能捆绑 Brotli 的组件。
3. 验证修复后，临时禁用措施已移除，且其他压缩仍正常工作。

兄弟们一定要注意暴露在公网的资产，不用的系统能关的关，能停的停，这段时间不太平，另外请大家自觉遵守网络安全法。