高危漏洞修補覆蓋三個版本分支
Node.js項目團隊11月11日發佈緊急安全更新，修補跨多個版本系列的高危漏洞。漏洞涉及HTTP/2連接會話管理與TLS握手異常崩潰風險。攻擊者此前可利用特定構造報文觸發未授權堆內存越界泄露。
Node.js官方安全公告指出，本次更新涵蓋26.x、24.x及22.x等現役長期支持版本分支。核心補丁重點修復編號爲CVE-2026-123863至CVE-2026-123866的多項高危漏洞。維護團隊發出高危預警。公告指出：「零長度TLS寫入可導致底層解析器重入。」服務器可能將堆內存私密數據直接拷至響應報文中。遠端攻擊者通過持續發送異常數據包，可誘發服務端內存泄漏與資源死鎖。在極高併發場景下，受害主機極易陷入服務拒絕癱瘓。
除HTTP/2相關漏洞外，本次發佈還修復了TLS 1.2重協商階段的鑑權繞過漏洞CVE-2026-123872。攻擊者曾能單方面篡改服務器名稱指示（SNI）標識，繞過客戶端雙向證書驗證。維護人員同時對會話緩存區溢出缺陷進行了底層重寫，消除了超長Origin報頭引發的遠程緩衝區溢出風險。
各主流雲服務商已開始在容器鏡像倉庫與託管函數計算服務中推送補丁包。企業安全運維團隊需要對面向公網暴露的Node.js服務端點進行拉網式排查。安全顧問建議企業開發人員在完成依賴升級後，利用模糊測試工具重點驗證HTTP/2長連接關閉時的資源釋放狀態，嚴格防範未修復實例遭受自動化掃描攻擊。
