【ISMS-漏洞/警訊】Node.js 修補4項高風險漏洞 恐讓駭客遠端執行程式碼 資安署籲公私部門儘速修補

重大資安警示｜Node.js 多項高風險漏洞緊急修補公告

ISMS｜資安漏洞／警訊｜緊急通報

重大資安警示：Node.js 多項安全漏洞緊急修補

請各系統承辦人、網站管理者及維運廠商立即清查是否使用 Node.js，確認實際執行版本與部署環境，並依官方安全公告儘速更新至修補版本。

4 項高風險漏洞涵蓋 Brotli 解壓縮、TLS 憑證驗證及 DNS 網域名稱解析等功能
緊急提醒：請窗口務必轉知各系統承辦人與廠商。Node.js 常用於網站及系統開發，使用範圍廣泛，請立即盤點主機、網站、應用程式、容器映像檔及建置流程是否包含 Node.js，並確認是否完成安全更新。

一、漏洞概要

依據本次通報內容，Node.js 專案於 2026 年 10 月 21 日發布安全更新，修補共 10 項漏洞，其中 4 項列為高風險。漏洞涉及 Brotli 資料解壓縮、TLS 憑證驗證、DNS 網域名稱解析，以及特定情況下亂數重複產生等問題。

其中，Brotli 解壓縮漏洞 CVE-2026-111497 可能導致資料寫入超出預定範圍的記憶體，造成記憶體損壞；嚴重情況下可能導致遠端程式碼執行。官方尚未詳細說明實際攻擊所需條件，亦未公布已遭實際利用的案例。

請清查範圍：所有使用 Node.js 的網站、後端服務、內部系統、API、排程程式、開發／建置伺服器及容器化應用程式；亦應檢查專案相依套件、部署腳本與映像檔是否內含受影響版本。

二、受影響版本與修補版本

依 Node.js 官方安全更新通報整理
版本分支本次修補版本處理方向
Node.js 26.x26.12.1請更新至此修補版本或官方後續提供的較新安全版本。
Node.js 24.x24.22.1請更新至此修補版本或官方後續提供的較新安全版本。
Node.js 22.x22.23.4請更新至此修補版本或官方後續提供的較新安全版本。
版本注意事項：請依系統實際使用的版本分支確認修補狀態。若使用已停止維護的 Node.js 版本，應規劃升級至仍受支援的版本；若因相依套件或系統相容性無法立即升級，請先採取隔離、限制存取及加強監控等風險降低措施，並訂定修補時程。

三、主要漏洞與可能風險

本次公告提及的主要漏洞類型
漏洞類型問題說明可能風險
Brotli 解壓縮解壓縮資料時，可能將內容寫入超出預定範圍的記憶體。記憶體資料損壞；嚴重時可能導致遠端程式碼執行。
TLS 憑證驗證處理全形數字或非標準格式 IP 位址時，可能錯誤接受原本不應通過驗證的憑證。連線對象驗證失效，增加連線遭冒用或攔截的風險。
DNS 網域名稱解析含有 NUL 字元的網域名稱在實際查詢時可能被截斷，導致檢查的名稱與真正查詢的對象不一致。若應用程式依網域名稱限制存取對象，可能造成存取控制失效。
其他安全問題另包含 HTTP 連線處理、其他 TLS 憑證驗證、特定啟動方式下亂數重複產生，以及 ZIP 檔案處理與檔案存取權限等問題。依漏洞情境可能影響連線安全、亂數品質或檔案處理安全。

本節為漏洞類型摘要，實際受影響條件及各漏洞對應版本，請以 Node.js 官方安全公告為準。

四、請各單位立即執行的五項措施

  1. 盤點 Node.js 使用情形與版本
    檢查網站、應用程式、API、伺服器、排程工作、CI/CD 建置流程及容器映像檔，確認是否直接或間接使用 Node.js，並記錄實際版本與系統負責人。
  2. 儘速更新至修補版本
    依官方公告將 Node.js 更新至相應修補版本或更新的受支援安全版本。更新前請確認相依套件、執行環境及服務相容性，更新後執行必要測試。
  3. 重新建置並部署應用程式
    若系統使用 Docker 或其他容器映像檔，請確認基底映像檔與內含的 Node.js 版本已更新，並重新建置、掃描及部署，不應只更新主機而忽略舊映像檔。
  4. 暫時無法修補時降低暴露風險
    依業務影響評估限制外部連線、縮小可存取來源、停用非必要服務或暫時隔離系統，並加強日誌與異常流量監控，儘速排定修補時程。
  5. 檢查異常活動並留存處理紀錄
    檢查應用程式、主機及網路安全紀錄是否有異常程序、非預期連線、錯誤暴增或可疑檔案；完成版本更新、測試及風險處置後，依校內資安作業流程留存並回報結果。

五、系統承辦人檢核清單

  • 已確認系統是否使用 Node.js，並記錄實際版本。
  • 已檢查專案相依套件、容器映像檔與建置／部署流程。
  • 已依官方公告完成更新，或已提出明確的修補時程及風險降低措施。
  • 更新後已完成服務功能測試，確認系統正常運作。
  • 已檢視相關日誌與告警，並依校內流程完成處理紀錄及回報。
國家資通安全研究院查看資安通報公告（另開新視窗）
Node.js 官方安全更新查看 October 2026 Security Releases（另開新視窗）
iThome 資安新聞閱讀相關漏洞報導（另開新視窗）
資安人閱讀資安分析報導（另開新視窗）

七、請協助轉知與追蹤

請各單位窗口務必轉知系統承辦人及維運廠商：

立即確認是否使用 Node.js，完成版本盤點、官方安全更新及更新後測試；如有系統暫時無法修補，請先採取適當的隔離或存取限制措施，並依校內資安作業流程回報處理進度。

請持續關注 Node.js 官方安全公告及校內資安通知，避免遺漏直接安裝、相依套件或容器映像檔中的受影響版本。

本頁依提供的通報內容整理供校內公告使用。漏洞影響範圍、修補版本與處置方式，請以 Node.js 官方公告、國家資通安全研究院及校內資安單位最新資訊為準。