科技 · 天神日報導讀

OpenAI紅隊發現Brotli壓縮庫遠端執行漏洞 Node.js已發安全更新

OpenAI紅隊演練發現廣泛使用的Brotli壓縮庫存在無需身份驗證即可遠端執行程式碼的漏洞；Node.js其後發布安全更新，修復22.x、24.x及26.x受影響版本。

文章重點

事件：OpenAI紅隊發現Brotli壓縮庫遠端執行漏洞 Node.js已發安全更新
內容：公開報道指，OpenAI在近期紅隊演練中發現，廣泛使用的壓縮庫Brotli存在一個無需身份驗證即可遠端執行程式碼的漏洞。Node.js、Bun及Envoy等軟件均內置該庫，令受影響面較廣。
來源：Node.js 官方安全公告
狀態：已由編輯部核實及整理發布

公開報道指，OpenAI在近期紅隊演練中發現，廣泛使用的壓縮庫Brotli存在一個無需身份驗證即可遠端執行程式碼的漏洞。Node.js、Bun及Envoy等軟件均內置該庫，令受影響面較廣。

Brotli漏洞影響什麼軟件

報道指，攻擊者如能向應用程式提供經Brotli壓縮的惡意資料，並觸發解壓，便有機會導致記憶體損毀、程序崩潰、資料外洩，以至遠端執行程式碼。Node.js官方安全公告將相關問題列為高風險，並指漏洞影響22.x、24.x及26.x發行線。

Node.js已發布哪些安全版本

Node.js其後發布安全更新，供用戶升級至22.23.4、24.22.1及26.12.1等已修復版本。Bun用戶亦被提醒更新至較新版本。開發者及網站營運者應盡快檢查依賴與運行環境，並套用官方修補。

與近期其他AI安全警示有何分別

同日前後亦有報道指CrowdStrike等機構就PHP相關漏洞發出警示，重點在於AI可加速舊漏洞被利用。Brotli一案則聚焦壓縮庫本身的解碼缺陷，兩者題材不同，但同樣提醒軟件供應鏈需及時修補。

常見問題

Brotli漏洞由誰發現？

公開報道指由OpenAI紅隊在演練中發現，並向相關項目通報。

Node.js用戶應升級至哪個版本？

官方安全公告列出已修復版本，包括22.23.4、24.22.1及26.12.1；請按所用發行線選擇對應更新。

參考資料

https://nodejs.org/en/blog/vulnerability/october-2026-security-releases

資料來源與編輯說明
本文由天神日報根據 Node.js 官方安全公告公開資料重新整理及撰寫，並非原文轉載。查看原始報道 →

OpenAI擬11月12日停向Cursor提供模型

OpenAI通知SpaceX，擬終止向程式工具Cursor提供模型，建議停供日為2026年11月12日，並稱屬合約允許最長通知期。港台報道SpaceX本月以約600億美元全股票收購Cursor母公司Anysphere；OpenAI指基於過往經驗，對SpaceX會否遵守服務條款欠信心。馬斯克回應「I couldn't care less」。Anthropic稱會加碼支援Cursor用Claude。

2026年8月29日5 次瀏覽