Node.js 于北京时间 10 月 21 日发布安全更新，覆盖当前维护中的 26.x、24.x 与 22.x 分支，对应修复版本分别为 26.12.1、24.22.1 与 22.23.4。根据 Node.js 官方安全公告，本次共修复 10 项漏洞，其中 4 项为高危、3 项为中危、3 项为低危，各分支最高严重等级均为 HIGH。
官方同时提醒，生命周期结束（EOL）版本在安全更新发布时通常也会受到相同问题影响，仍停留在这些版本的系统应尽快迁移到受支持分支。
四项高危漏洞涉及 Brotli、DNS 与 TLS 主机名验证
在 4 项高危漏洞中，CVE-2026-111497 指向 Brotli 解码器越界写入。官方说明称，该问题可能导致远程代码执行，影响 26.x、24.x 与 22.x 三个现行分支。
其余高危漏洞包括：名称中包含空字符时，DNS 解析可能被截断的 CVE-2026-105482，影响三条分支；使用全角数字书写 IP 时，TLS 证书主机名验证可能被绕过的 CVE-2026-105483，影响 26.x 与 24.x；以及主机在宽松解析后映射到 IP 时，TLS 主机名验证可能被绕过的 CVE-2026-106069，影响三条分支。
公告也提到，并非每一项高危漏洞都覆盖全部现行分支，升级前需要对照自身线上版本与官方列出的影响范围。
中低危问题波及持久连接、随机数缓存与权限模型
中危漏洞包括 3 项，分别是：keep-alive 持久连接在请求发出前就处理响应的 CVE-2026-105481；非规范 IPv4 主机名证书验证不当的 CVE-2026-106072；以及 crypto.randomUUID() 与 randomInt() 的随机数缓存被写入用户启动快照和单一可执行文件（SEA）后，不同进程可能重复生成相同值的 CVE-2026-106074。这 3 项问题均影响 26.x、24.x 与 22.x。
低危漏洞同样有 3 项，包括：ZIP 头验证失败后返回攻击者可控前缀字节的 CVE-2026-106070，仅影响 26.x；权限模型文件系统通配符授权过宽的 CVE-2026-106071，仅影响 26.x；以及可通过 fs.realpathSync 绕过权限模型的 CVE-2026-106073，影响三条分支。
相依组件同步更新，涉及 c-ares、OpenSSL、Undici 与 SQLite
除核心代码外，Node.js 官方也同步更新多项相依组件，以处理已公开漏洞。c-ares、根证书套件（包括与 eMudhra 中间 CA 相关的处置）以及 Undici 适用于三条分支；OpenSSL 更新出现在 24.x 与 22.x；SQLite 更新则出现在 22.x。
各分支发行说明还列出部分组件版本：c-ares 升级至 1.34.9，OpenSSL 升级至 3.5.9，Undici 分别升级至 8.12.2（26.x）、7.30.1（24.x）和 6.29.1（22.x）。
同日 PHP 也发布安全修复
同一天，PHP 官方也发布安全更新，将 8.5.12、8.4.27、8.3.36、8.2.35 设为修复版本，用于处理两项可导致未认证远程代码执行的严重问题，分别是 CVE-2026-109618 与 CVE-2026-109619。
对于同时维护 Node.js 与 PHP 服务的团队来说，10 月 21 日意味着执行层与语言运行时需要同步完成修补。报道提到，较为务实的做法是先部署官方修复版本，再检查反向代理、压缩协商与证书链配置，而不是只停留在单一 CVE 的技术细节上。
官方建议按分支升级，EOL 系统尽快迁移
报道指出，Node.js 仍是云服务、加密货币交易界面与 AI 代理工具链中常见的底层运行环境。这次安全发布将最高严重等级定为 HIGH，并明确点出 Brotli 路径以及 TLS、DNS 验证面，显示连接处理与内容解码仍是主要攻击面。
对开发者而言，直接路径是按所用分支升级到 26.12.1、24.22.1 或 22.23.4，并确认容器镜像、CI 镜像以及本地工具链不再锁定旧版本。对于仍停留在 EOL 分支上的系统，官方建议尽快迁移到受支持版本。