【ISMS-漏洞/警訊】Node.js 修補4項高風險漏洞恐讓駭客遠端執行程式碼資安署籲公私部門儘速修補

:::

重大資安警示｜Node.js 多項高風險漏洞緊急修補公告

ISMS｜資安漏洞／警訊｜緊急通報

重大資安警示：Node.js 多項安全漏洞緊急修補

請各系統承辦人、網站管理者及維運廠商立即清查是否使用 Node.js，確認實際執行版本與部署環境，並依官方安全公告儘速更新至修補版本。

4 項高風險漏洞涵蓋 Brotli 解壓縮、TLS 憑證驗證及 DNS 網域名稱解析等功能

依據本次通報內容，Node.js 專案於 2026 年 10 月 21 日發布安全更新，修補共 10 項漏洞，其中 4 項列為高風險。漏洞涉及 Brotli 資料解壓縮、TLS 憑證驗證、DNS 網域名稱解析，以及特定情況下亂數重複產生等問題。

其中，Brotli 解壓縮漏洞 CVE-2026-111497 可能導致資料寫入超出預定範圍的記憶體，造成記憶體損壞；嚴重情況下可能導致遠端程式碼執行。官方尚未詳細說明實際攻擊所需條件，亦未公布已遭實際利用的案例。

請清查範圍：所有使用 Node.js 的網站、後端服務、內部系統、API、排程程式、開發／建置伺服器及容器化應用程式；亦應檢查專案相依套件、部署腳本與映像檔是否內含受影響版本。

本次公告提及的主要漏洞類型
漏洞類型	問題說明	可能風險
Brotli 解壓縮	解壓縮資料時，可能將內容寫入超出預定範圍的記憶體。	記憶體資料損壞；嚴重時可能導致遠端程式碼執行。
TLS 憑證驗證	處理全形數字或非標準格式 IP 位址時，可能錯誤接受原本不應通過驗證的憑證。	連線對象驗證失效，增加連線遭冒用或攔截的風險。
DNS 網域名稱解析	含有 NUL 字元的網域名稱在實際查詢時可能被截斷，導致檢查的名稱與真正查詢的對象不一致。	若應用程式依網域名稱限制存取對象，可能造成存取控制失效。
其他安全問題	另包含 HTTP 連線處理、其他 TLS 憑證驗證、特定啟動方式下亂數重複產生，以及 ZIP 檔案處理與檔案存取權限等問題。	依漏洞情境可能影響連線安全、亂數品質或檔案處理安全。

本節為漏洞類型摘要，實際受影響條件及各漏洞對應版本，請以 Node.js 官方安全公告為準。

盤點 Node.js 使用情形與版本
檢查網站、應用程式、API、伺服器、排程工作、CI/CD 建置流程及容器映像檔，確認是否直接或間接使用 Node.js，並記錄實際版本與系統負責人。
儘速更新至修補版本
依官方公告將 Node.js 更新至相應修補版本或更新的受支援安全版本。更新前請確認相依套件、執行環境及服務相容性，更新後執行必要測試。
重新建置並部署應用程式
若系統使用 Docker 或其他容器映像檔，請確認基底映像檔與內含的 Node.js 版本已更新，並重新建置、掃描及部署，不應只更新主機而忽略舊映像檔。
暫時無法修補時降低暴露風險
依業務影響評估限制外部連線、縮小可存取來源、停用非必要服務或暫時隔離系統，並加強日誌與異常流量監控，儘速排定修補時程。
檢查異常活動並留存處理紀錄
檢查應用程式、主機及網路安全紀錄是否有異常程序、非預期連線、錯誤暴增或可疑檔案；完成版本更新、測試及風險處置後，依校內資安作業流程留存並回報結果。