PHP之后再来Node.js……一周内重叠的"网络基础设施安全周"

PHP之后，现在轮到Node.js了。全球网络服务的两大基础技术在同一周内相继推出紧急安全补丁。Node.js项目于21日（当地时间）公开安全发布，表示修复了包括远程代码执行可能性在内的10个漏洞。这正是"PHP2Shell"补丁发布的同一天。

Node.js是用于创建网站后台数据处理服务器（即后端）最广泛使用的运行环境之一。国内外初创企业的API服务器和大量网络服务都在其上运行。这正是此次补丁影响范围如此之大的原因。

已修复的漏洞中，危险等级为"高"的有4个。最值得关注的是处理压缩数据（Brotli）时发生的内存越界写入缺陷（CVE-2026-111497），如果服务器处理来自外部的压缩数据，可能导致远程代码执行。此外还修复了2个可绕过安全通信（TLS）证书验证的缺陷。这些漏洞允许使用全角数字书写IP地址，或将主机名宽松地解释为IP，使得虚假服务器可以冒充真实服务器。当DNS名称中混入特殊字符（NUL）时会导致地址被错误处理，这四个漏洞都针对服务器与外部通信的关键路径。

此外还修复了HTTP连接保活处理错误、加密随机数可能重复的缺陷等中等级别2个和低级别4个漏洞，同时包含了OpenSSL、c-ares、SQLite、Undici等Node.js附带的核心组件的安全更新。

应对措施很简单。修复版本为26.12.1、24.22.1、22.23.4，服务器运营者只需更新到符合使用版本系列的修复版本并重启服务。如果正在使用已停止支持的旧版本（20及以下），根本的解决方案是升级到受支持版本。首先从使用一条命令（node -v）确认版本开始。

在短短一周内PHP和Node.js相继出现问题，安全业界将这一周称为"网络基础设施安全周"。构成网络基础的开源技术由于是免费使用的，跟进补丁是唯一的使用费。正如PHP2Shell事件所表明的那样，一旦漏洞被公开，就会出现在攻击者的日程表上。