正文
不止PHP，Node.js三个版本分支亦受高危漏洞影响，用户需及时更新运行环境
BlockBeats 消息，10 月 22 日，Node.js 项目于 10 月 21 日发布安全更新，涉及 26.x、24.x 和 22.x 版本分支，修复版本分别为 26.12.1、24.22.1 及 22.23.4。本次公告共列出 10 项漏洞，包括 4 项高危、3 项中危和 3 项低危，各版本分支的受影响范围有所不同。
其中，高危漏洞 CVE-2026-111497 涉及 Brotli 解码器越界写入，可导致远程代码执行，影响上述三个版本分支。其他高危问题包括 DNS 解析中的空字符处理，以及 TLS 证书主机名验证绕过。
本次更新还修复了持久连接响应处理、随机数缓存重复及权限模型等问题，并更新 c-ares、OpenSSL、Undici 等依赖组件。官方提醒，已终止支持的版本同样可能受安全漏洞影响，用户应使用受支持的最新版本。
此前报道，PHP 修复了两项可导致未经身份验证的远程代码执行的严重漏洞，修复版本为 8.5.12、8.4.27、8.3.36 和 8.2.35，官方敦促用户立即升级。