高危漏洞修补覆盖三个版本分支
Node.js项目团队11月11日发布紧急安全更新，修补跨多个版本系列的高危漏洞。漏洞涉及HTTP/2连接会话管理与TLS握手异常崩溃风险。攻击者此前可利用特定构造报文触发未授权堆内存越界泄露。
Node.js官方安全公告指出，本次更新涵盖26.x、24.x及22.x等现役长期支持版本分支。核心补丁重点修复编号为CVE-2026-123863至CVE-2026-123866的多项高危漏洞。维护团队发出高危预警。公告指出：「零长度TLS写入可导致底层解析器重入。」服务器可能将堆内存私密数据直接拷至响应报文中。远端攻击者通过持续发送异常数据包，可诱发服务端内存泄漏与资源死锁。在极高并发场景下，受害主机极易陷入服务拒绝瘫痪。
除HTTP/2相关漏洞外，本次发布还修复了TLS 1.2重协商阶段的鉴权绕过漏洞CVE-2026-123872。攻击者曾能单方面篡改服务器名称指示（SNI）标识，绕过客户端双向证书验证。维护人员同时对会话缓存区溢出缺陷进行了底层重写，消除了超长Origin报头引发的远程缓冲区溢出风险。
各主流云服务商已开始在容器镜像仓库与托管函数计算服务中推送补丁包。企业安全运维团队需要对面向公网暴露的Node.js服务端点进行拉网式排查。安全顾问建议企业开发人员在完成依赖升级后，利用模糊测试工具重点验证HTTP/2长连接关闭时的资源释放状态，严格防范未修复实例遭受自动化扫描攻击。
