OpenAI挖出Brotli高危RCE：Node.js三条版本线都得升
一个做运维的朋友发来的消息，这两天在微博传疯了：这是他入行以来最好的一年。公司终于舍得花钱，把PHP从5.6升到7.3，产品线刚切到Node.js 24、中间件全开Brotli压缩，全站证书换成eMudhra、价格只有别家零头，CI昨晚还从PyPI拉了最新版LiteLLM。办公室里所有人互相击掌，有种IT黄金时代降临的错觉。微博
这周盯着安全新闻的人，看完却在冒冷汗：清单里每一项，都踩中了真实爆出的雷。今天说最要命的一颗。
OpenAI挖出的那颗雷
10月23日，OpenAI公开宣布：其安全研究人员在Brotli中发现严重漏洞，未认证即可远程代码执行，波及Node.js、Bun和Envoy。Brotli是Google开发的压缩库，HTTP内容编码里那个"br"就是它。微博知乎
Node.js官方公告里，这颗雷编号CVE-2026-111497，报告人来自OpenAI Codex Security。Imperva红队随后完整实测了攻击链，给它起名"Node2Shell"。恶意压缩数据进入Node.js内置解压器后，会触发一种逻辑上不该出现的数据块切换，解码器把"格式错误"误当成"输入还没完"，带着危险状态继续跑，最终越界写入内存，劫持程序执行流程。知乎Imperva
Imperva的实测很说明问题：官方Node.js 24.22.0镜像里，测试应用根本没写创建文件的代码，处理完一段恶意Brotli数据后，标记文件凭空出现在容器里；同样的数据，修复后的24.22.1直接拒绝。不需要账号，一段压缩数据就够。知乎
更阴的是，多数人根本不知道自己在用它——Brotli往往被别的依赖间接拉进来，藏在通信链路最底层；而漏洞根因今年2月就在Brotli源码里修掉了，当时没人意识到那是安全问题，没有紧急发版。经历过Log4Shell的人都懂，从"源码修了"到"你的服务更新了"，中间每一环都可能停住。知乎
Node.js已发版：升到哪几个版本
10月21日，Node.js给三条在维护的版本线发了安全更新：22.x升到v22.23.4，24.x升到v24.22.1，26.x升到v26.12.1，一共修复10个漏洞。最严重那颗的修法，是同步Brotli上游改动：让解压器对非法数据尽早返回明确的"格式错误"，而不是继续吞数据。微博知乎
注意：20.x今年4月底已停止维护，25.x在6月初停止维护，这次都没有补丁，还在用的只能换新版本线。微博
这批更新还顺手修了：HTTPS证书核对能被全角数字写的IP绕过、dns.resolve遇到域名夹空字符会截断。启动快照和SEA打包还会把随机数缓存冻进去，导致每次启动都生成同样的"随机"值。知乎微博
三个新版本还内置了证书黑名单，第一批拉黑的是印度机构eMudhra那8枚弱中间证书——私钥全是几位数的小整数，最离谱的一枚就是个位数"4"。17日曝光后，Chrome、Firefox当天拉黑，Apple、Microsoft跟进，Node.js在21日发版时同步拉黑。微博微博
现在就该做的三件事
跑一下node -v：22、24、26三条线分别升到v22.23.4、v24.22.1、v26.12.1；
用Bun、Envoy的，盯紧官方公告，出了安全版本尽快跟；
证书是eMudhra签的赶紧换，服务端程序也要确认已拉黑那8枚证书。
就在这周早些时候，PHP也爆了雷，荷兰议会、芬兰中央政府等多国机构网站连夜下线。挖出它的正是OpenAI的"修补地球"（Patch the Planet）计划，Brotli这颗雷的补丁说明也挂在同一页面下。微博知乎知乎
AI把"发现漏洞"的门槛打到了地板，修复端却没跟上：PHP团队公布过一组数字，7月1日到10月21日发出15个CVE，同期收到的报告里100多份最终被判定无效或复现不出来。漏斗底下接报告的，还是每个项目那两三个维护者。知乎
发现的速度控制不了，修复的速度也快不起来，能做的只有让自己的升级链条短一点：版本线别拖太久，依赖树里跑着什么，心里得有个数。
毕竟，那位运维朋友眼里的黄金时代，是别人事故复盘的封面。
