【ISMS-漏洞/警訊】Google Brotli漏洞(CVE-2026-111497)重大RCE漏洞爆發，擴及.NET、Python、PHP及Linux發行版

Google Brotli解壓縮元件漏洞CVE-2026-111497的修補範圍從Node.js擴及.NET、PHP及多個Linux發行版，但各平臺修補進度不一。研究人員也證實，漏洞可透過圖片解碼等非HTTP資料處理功能觸發。

根據國際資安機構與原廠最新釋出的安全警告，廣泛應用於網站伺服器與後端的Brotli解壓縮元件爆發嚴重漏洞（CVE-2026-111497，又稱Node2Shell）。

此漏洞允許駭客在「無須任何帳號密碼」的情況下，直接從遠端控制我們的伺服器。由於該元件深植於Node.js等核心網路基礎設施中，請各系統維運團隊將此視為「零時差等級」威脅，立刻啟動應變機制。

一、導論與漏洞詳細說明
漏洞核心與原理：此漏洞源於GoogleBrotlidecoder(解碼器)中存在「緩衝區溢位/記憶體越界寫入(Out-of-BoundsWrite)」的嚴重缺陷。當伺服器嘗試解壓縮駭客精心構造的惡意Brotli資料時，便會觸發此錯誤。
威脅等級與評分：風險極高。依據Google與各大資安實驗室的評估，此漏洞的CVSS3.1評分高達8.1-9.2分(視環境而定)。
實際衝擊與風險(RCE)：駭客只要發送夾帶惡意程式碼的Brotli壓縮封包給伺服器處理，就能觸發遠端程式碼執行(RCE)。這意味著駭客能直接在伺服器上執行系統指令、植入後門、竊取資料或部署勒索軟體。
受影響範圍：包含使用了GoogleBrotli版本1.0.3至1.2.0的所有平台。首當其衝的為Node.js(透過內建的node:zlib模組)、Bun執行環境，以及Python(brotli/brotlicffi)等任何會自動解壓縮網頁數據的系統。

資安業者OpenSourceMalware調查發現，Python套件Brotli及brotlicffi也受到影響，兩者已分別於10月22日及23日發布修補版本。微軟則於10月25日發布.NET安全更新，修補版本包括.NET8.0.33、9.0.22、10.0.14及.NET11RC3，.NETFramework則不受影響。企業若使用主機所安裝的.NET執行環境來執行應用程式，需更新執行環境並重新啟動應用程式；自含式應用程式及相關容器則須重新建置及部署。

PHP開發團隊於10月26日重新建置並發布4個Windows套件版本，包括PHP8.5.12-1、8.4.27-1、8.3.36-1及8.2.35-1，將內含的Brotli更新至1.2.1版。在Windows環境中，PHP的cURL擴充功能若啟用HTTP回應自動解壓縮，就可能使用受影響的Brotli解碼器，但這項功能預設未啟用。至於在Linux環境中使用系統Brotli程式庫的PHP，則須透過各發行版提供的套件更新修補。

Linux各發行版的修補進度則有所不同。根據Debian、Ubuntu、AlpineLinux及SUSE的安全追蹤資訊，Debian12及13、Ubuntu22.04至26.10，以及AlpineLinux部分版本和openSUSETumbleweed已提供Brotli修補套件。不過，Debian部分版本的Node.js套件仍列為受影響，企業須另外確認相關套件的修補情況。

紅帽（RedHat）則將RHEL7至10列為受影響產品，根據10月26日公布的安全公告，當時仍在評估相關影響並準備修補。對於尚未取得修補的系統，紅帽建議限制接收來自不受信任來源的Brotli壓縮資料，必要時可透過反向代理伺服器或負載平衡設備，移除相關HTTP流量中的Content-Encoding:br標頭，或拒絕相關請求與回應。

Brotli漏洞也可能透過圖片解碼等非HTTP資料處理功能觸發。資安業者JFrog於10月25日公布研究結果，研究人員在測試中利用特製JPEGXL圖片，透過FFmpeg使用的libjxl解碼元件觸發記憶體破壞；另以特製HTTP請求使ClickHouse伺服器崩潰。研究人員也在使用PyArrow處理特製壓縮資料時，發現Brotli解壓縮程序可能陷入無限迴圈，持續耗用CPU資源。

二、執行緊急升級 (Patch & Upgrade - 治本之道)：

  1. Node.js 系統： 請立即將伺服器上的 Node.js 更新至官方最新釋出的安全修補版本（請確認其內建的 Brotli 元件已修補）。
  2. 作業系統與套件： 針對 Linux 伺服器，執行套件更新（例如 sudo apt-get update && sudo apt-get upgrade libbrotli1），確保底層的 Brotli 函式庫升級至不受影響之版本（如 v1.2.1 或以上）。
  3. 無法立即更新時：停用 Brotli 支援： 暫時在反向代理伺服器 (Nginx / HAProxy / Apache) 或程式碼層級，停用對外接收 Brotli 壓縮格式的支援（拒絕處理 HTTP 標頭中帶有 Content-Encoding: br 的外部輸入資料）。

資料來源：

IThome：

  1. https://www.ithome.com.tw/news/180003
  2. https://www.ithome.com.tw/news/179970 
  3. https://www.ithome.com.tw/news/179952 

資安人：https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=13417

NVD： https://nvd.nist.gov/vuln/detail/CVE-2026-111497
Akamai： https://www.akamai.com/blog/security-research/inside-node2shell-closer-look-cve-2026-111497
RedHat： https://access.redhat.com/security/vulnerabilities/RHSB-2026-015
F5： https://my.f5.com/manage/s/article/K000163902