【漏洞預警】Node.js 存在4個重大資安漏洞，請儘速確認並進行處置

事故類型：ANA-漏洞預警

通報單號：TACERT-ANA-2026102201102424 ｜發布日期：2026-10-22 13:22:24 ｜情資來源：教育機構ANA通報平台 / 成大計網中心轉發

發布編號	TACERT-ANA-2026102201102424
影響平台	Node.js 22.0.0至22.23.4(不含)版本 Node.js 24.0.0至24.22.1(不含)版本 Node.js 26.0.0至26.12.1(不含)版本

內容說明

轉發台灣電腦網路危機處理暨協調中心資安訊息警訊 TWCERTCC-200-202610-00000030

研究人員發現Node.js 存在4個重大資安漏洞（CVE-2026-105482、CVE-2026-105483、CVE-2026-106069及CVE-2026-111497），類型包含空字元輸入驗證不足、TLS憑證主機名稱檢查繞過(TLS Certificate Hostname Bypass)及越界寫入(Out-of-Bounds Write)，請儘速確認並進行處置。

【CVE-2026-105482】
dns.resolve函式處理含NUL字元之名稱時，會將名稱截斷。

【CVE-2026-105483】
Node.js 24.x與26.x版本中，當IP位址以全形書寫時，攻擊者可繞過TLS憑證之主機名稱檢查。

【CVE-2026-106069】
當主機名稱為非標準格式之IP位址時，攻擊者可繞過TLS憑證之主機名稱檢查。

【CVE-2026-111497】
Brotli解碼器存在越界寫入缺陷，可導致遠端執行程式碼。

情資分享等級: WHITE(情資內容為可公開揭露之資訊)
此訊息僅發送到「區縣市網路中心」，煩請貴單位協助轉發與通知轄下各單位知悉

建議措施

官方已針對漏洞釋出修補或更新，請參考官方說明進行處置，升級至已修復安全版本：
Node.js 22.23.4 (含)以上
Node.js 24.22.1 (含)以上
Node.js 26.12.1 (含)以上

官方發布公告：
https://nodejs.org/en/blog/vulnerability/october-2026-security-releases

參考資料：
1. https://www.twcert.org.tw/tw/cp-169-11305-9b826-1.html
2. https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
3. https://nvd.nist.gov/vuln/detail/CVE-2026-111497

(此通報僅在於告知相關資訊，並非為資安事件)，如果您對此通報的內容有疑問或有關於此事件的建議，歡迎與我們連絡。

教育機構資安通報應變小組
網址：https://info.cert.tanet.edu.tw/
專線電話：07-5250211
網路電話：98400000
E-Mail：service@cert.tanet.edu.tw

瀏覽數:

友善列印