Node.js 與 Go 同日釋出緊急安全更新：Brotli 解壓縮可致遠端執行程式碼，Go 封鎖外洩的中繼憑證

閱讀約 1 分鐘

揭露: 2026年10月21日
發布: 2026年11月7日
最後更新: 2026年11月6日
CVSS 依據: 本站評估
: 82.6%，高於 100% 的漏洞
利用與修補狀態: 已有修補

技術 / 系統類型
影響
漏洞狀態

本頁內容

30 秒摘要

發生什麼事

資安署 10 月 22 日呼籲公私部門加速修補：Node.js 修補 10 項漏洞、4 項高風險，其中 CVE-2026-111497 為 Brotli 解碼越界寫入，可能導致遠端程式碼執行，修補版本 22.23.4、24.22.1、26.12.1 ^[1]。Go 釋出 1.27.3 與 1.26.10，將印度憑證授權中心 8 個已知私鑰外洩的中繼憑證加入封鎖清單，現有 Go 應用程式須重新編譯並部署 ^[1]。

誰受影響

使用以下產品的組織：Node.js Node.js、Go Go

現在該做什麼本站建議

Go 釋出 1.27.3 與 1.26.10，將印度憑證授權中心 8 個已知私鑰外洩的中繼憑證加入封鎖清單，現有 Go 應用程式須重新編譯並部署 ^[1]

受影響範圍

受影響範圍	版本	修補版本
Node.js Node.js	22.x < 22.23.4, 24.x < 24.22.1, 26.x < 26.12.1^[1]	22.23.4 / 24.22.1 / 26.12.1	✓ 已修補
Go Go	1.27 < 1.27.3, 1.26 < 1.26.10^[1]	1.27.3 / 1.26.10	✓ 已修補

我有用這個產品嗎？

把產品加入你的系統清單，之後有相關通報或重大進展會寄信通知你。

事件時間軸

2026年10月21日
Node.js 與 Go 發布安全更新^[1]
2026年10月22日
資安署發布警訊^[1]

技術細節

漏洞內容

資安署新聞稿指出，Node.js 官方共修補 10 項資安漏洞，其中 4 項屬高風險；CVE-2026-111497 為 Brotli 解碼器越界寫入，可能導致，另修補 TLS 憑證驗證繞過、DNS 解析異常與 Permission Model 繞過 ^[1]。Go 1.27.3 與 1.26.10 則因印度憑證授權中心發生 8 個已知私鑰外洩的重大資安事件，將受影響的中繼憑證加入封鎖清單 ^[1]。

處置

資安署已透過資安警訊與 N-ISAC 通知公務機關及關鍵基礎設施限期清查修補；Go 應用程式「務必重新編譯並重新部署」 ^[1]。

修復指引

本站補充

更新 Node.js 至修補版本 patch^[1]

node -v
# 以 nvm 或套件管理工具升級至 22.23.4 / 24.22.1 / 26.12.1

升級 Go 並重新編譯所有應用程式 patch^[1]

go version
# 升級至 1.27.3 / 1.26.10 後重新 build 並部署

參考來源

官方 / 一級來源1

[1]
Node.js 與 Go 釋出緊急安全更新資安署籲請公私部門加速修補防範遠端執行與憑證攔截風險
數位發展部資通安全署2026-10-22擷取日 2026-11-06存檔
“務必針對現有之 Go 應用程式進行「重新編譯（Recompile）」並重新部署”

本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。