10月21日，Node.js 项目给三条仍在维护的版本线一次性推了一场安全发版：22.x 升到 v22.23.4、24.x 升到 v24.22.1、26.x 升到 v26.12.1，共修复 10 个 CVE。 同一天，PHP 紧急修复两个可被未认证请求触发的远程代码执行漏洞，并敦促所有用户立即更新。 两大 Web 基础设施同日发版，不是漏洞的巧合撞车，而是开源安全治理的变化集中压到了同一个发版日：修补的最后一公里正从浏览器和操作系统厂商下压到编程语言运行时，而各个项目接不接得住，拼的是治理底子。Node.js 官网PHP 官网
最危险的问题出在自带解压组件，官方披露只到"可能导致 RCE"
Brotli 是网页传输常用的压缩格式，Node.js 内置了它的解码器。这次公告里，这个越界写入缺陷（CVE-2026-111497）可以导致远程执行代码，等级为高危，三条版本线全部受影响。 公告对它只有这一句：没有触发条件，没有受影响的默认配置说明，也没有在野利用状态，风险边界要靠升级者自己补上。Node.js 官网
修法据开发者转述，是同步了 Google Brotli 项目的上游改动，让解压程序更早拒绝格式不对的数据。 另外三个高危集中在证书校验与解析链路：域名中夹带 NUL 空字符会让 dns.resolve 查询"缩水"，HTTPS 证书的主机名校验可被全角数字写法的 IP 或宽松 IP 写法绕过，其中全角数字一类只影响 24.x 和 26.x。微博Node.js 官网
和 PHP 同日发布，两个项目对"停止维护窗口"的处理完全相反
PHP 团队的姿态是"兜住存量"：先于发版一天发出预警，然后给 4 条支持线推补丁，官方评估风险最高的是 mod_php——那里已经存在一条能在任何应用代码运行前被触发的实证利用路径。PHP 官网
更罕见的是对早已停止维护的 PHP 7.4、8.0、8.1，团队额外提供了最小化源码回移，帮没有厂商补丁包的用户自救。PHP 官网
Node.js 的立场则是"过线不补"：公告明确每次安全发版都会波及已停止维护的版本，旧线用户等不到补丁，只能迁往三条活跃线。 按开发者转述，20.x 和 25.x 分别已于 2026 年 4 月和 6 月退出维护，这次都没有份。 两条路径没有标准答案——PHP 的长尾用户盘更大，Node 靠刚性发布表倒逼迁移——但合起来说明同一件事："官方不再支持"到"用户真正升级"之间的窗口期，已经是开源漏洞最大的暴露面。Node.js 官网微博
证书事件把语言运行时逼进吊销链条
这次发版还夹带了一个 Node 之外的突发议题：10 月中旬，eMudhra 的 8 枚中间 CA 证书被发现私钥失陷且密钥强度不足，Cloudflare 在博客中称其于 10 月 19 日首次知悉该事件。 此后 Chrome 与 Firefox 率先拉黑，eMudhra 次日作废证书，Apple、Microsoft 跟进，Node.js 在 21 日带着内置名单更新发版。Cloudflare 博客微博
浏览器有快速吊销机制，浏览器之外的程序没有。Cloudflare 给出的判断是：一个 API 客户端可能把证书校验委托给 HTTP 库、语言运行时或操作系统，只升级 SDK 未必改变底层校验策略。 这次 Node.js 随版本更新的内置 CA 名单中，第一批拉黑的正是这批 eMudhra 证书，据开发者转述，这与 Go、Electron 拉黑的是同一批。Cloudflare 博客微博
一个趋势因此变得具体：WebPKI 的吊销正在从"浏览器包办"变成由运行时层层分担，编程语言运行时成为安全策略的最后一环，只更新浏览器、不更新服务端运行时的用户，可能仍在校验一批作废的证书。社区已有配套自查入口，Mozilla 研究员 Dennis Jackson 维护了已打补丁的常用软件包清单，值得对照检查自己的依赖。Cloudflare 博客
治理底子里，人钱两头都在吃紧
看回发版本身的细节：这 10 个 CVE 由社区研究员报告，多位核心维护者分工修复，其中最高危的 Brotli RCE 出自维护者之手、由另一位维护者补上。 支撑研究力量的奖励管道却是断的：官方公告写明，作为志愿驱动的项目，Node.js 没有独立预算维持安全赏金计划，其参与多年的漏洞赏金计划已因外部资金中止而暂停。 漏洞发现、修复、分发全靠少数人义务支撑，与单日 10 个 CVE 的修复强度形成同一枚硬币的两面。这轮事件后，开源安全治理的真实瓶颈已经清晰：不再是"能不能发现漏洞"，而是"能不能把修复推到最后一公里"。Node.js 官网Node.js 官网
回到用户该做什么：Node.js 按所在线升级到 v22.23.4、v24.22.1 或 v26.12.1 及以上即可，本次还同步更新了 c-ares、OpenSSL、SQLite、undici 等内置组件；用启动快照或 SEA 打包的要注意中危的随机数问题——`crypto.randomUUID()` 的熵缓存会被打进包里，导致每次启动重复"随机"值。 PHP 侧，官方口径是唯一完整解法就是升到 8.5.12、8.4.27、8.3.36 或 8.2.35，官网给出的临时缓解只降低特定路径暴露，并不能让安装变得安全。 值得长期盯一个信号：Node.js 的赏金计划能否恢复资助——报告侧的钱和人若不回来，下一次类似发版，漏洞从被发现到被利用的窗口只会更短。Node.js 官网PHP 官网
