Node.js發布安全性更新修補10項漏洞，其中CVE-2026-111497可導致遠端程式碼執行，籲儘速更新
- 發布單位:TWCERT/CC
- 更新日期:2026-10-22
- 點閱次數:173
Node.js官方於2026年10月21日發布安全性更新，針對22.x、24.x及26.x版本線共修補10項漏洞，其中4項為高風險，包含可導致遠端程式碼執行之Brotli解碼器越界寫入漏洞（CVE-2026-111497）。數位發展部資通安全署亦於10月22日發布新聞稿，呼籲各機關與企業儘速完成更新。Node.js常見於後端服務、容器映像檔、網頁前端工具鏈及部分AI agent命令列工具中，建議企業盤點環境中之Node.js版本並儘速更新。
Node.js官方公告
Node.js官方於2026年10月21日發布22.23.4、24.22.1及26.12.1版本，共修補10項漏洞，包含高風險4項、中風險3項及低風險3項。其中高風險漏洞如下：
| CVE編號 | 漏洞說明 | 影響版本線 |
| CVE-2026-111497 | Brotli解碼器存在越界寫入（Out-of-Bounds Write）缺陷，可導致遠端程式碼執行 | 22.x、24.x、26.x |
| CVE-2026-105482 | dns.resolve函式處理含NUL字元之名稱時，會將名稱截斷 | 22.x、24.x、26.x |
| CVE-2026-105483 | IP位址以全形數字書寫時，可繞過TLS憑證之主機名稱檢查 | 24.x、26.x |
| CVE-2026-106069 | 主機名稱可被寬鬆解析為IP位址時，可繞過TLS憑證之主機名稱檢查 | 22.x、24.x、26.x |
表1、Node.js 2026年10月安全性更新之高風險漏洞（資料來源：Node.js官方公告）
其餘6項中、低風險漏洞涉及連線處理、隨機數重複產生及權限模型（Permission Model）繞過等問題。本次更新亦同步更新Node.js內建之憑證清單，以因應印度憑證機構eMudhra中繼憑證遭入侵事件。官方另指出，已停止支援（End-of-Life）之版本一律受影響，且不會提供修補。
| 版本線 | 受影響版本 | 修補版本 |
| Node.js 22.x | 22.23.4之前版本 | 22.23.4 |
| Node.js 24.x | 24.22.1之前版本 | 24.22.1 |
| Node.js 26.x | 26.12.1之前版本 | 26.12.1 |
| Node.js 20.x及更早版本線 | 已停止支援 | 不提供修補，需升級至受支援版本線 |
表2、Node.js受影響版本與修補版本（資料來源：Node.js官方公告）
企業常見使用情境
Node.js應用範圍廣泛，以下為常見之使用情境，建議一併納入盤點範圍：
• 後端服務：微服務架構及各類API伺服器。
• 容器映像檔：伺服器主機及容器化映像檔（Docker Images）中之Node.js版本均需檢視並完成升級。
• 網頁前端工具鏈：網頁前端開發所使用之工具鏈。
• 透過npm安裝之命令列工具：部分AI agent命令列工具（如Gemini CLI）以Node.js為執行環境，使用者電腦上之Node.js版本亦需一併更新。
建議措施
• 盤點環境中使用Node.js之系統，包含伺服器主機、容器映像檔及使用者電腦，可於終端機執行「node -v」確認版本，或以軟體物料清單（SBOM）協助篩選。依美國網路安全暨基礎設施安全局（CISA）說明，由原始碼產生之SBOM依語言或生態系不同，可能未包含執行環境元件，盤點時應確認是否涵蓋Node.js本身之版本。
• 儘速更新至22.23.4、24.22.1或26.12.1以上版本，更新後重新啟動相關服務及工具；容器映像檔亦應一併完成升級。
• 使用Node.js 20.x或更早版本線者，應升級至仍受支援之版本線。