🚨 威胁通告 · 防护方案 · 免费服务
Node2Shell 来袭｜Radware 签名数分钟内上线，另开放一周免费防护
来源：Radware CVE-2026-111497 威胁通告与产品影响矩阵｜编译整理
核心提示：Node.js 披露高危漏洞 CVE-2026-111497（社区俗称 "Node2Shell"）， flaw 位于 Node.js 内置的 Brotli 解压代码中——未经身份验证的攻击者即可让应用崩溃、泄露敏感内存，在特定环境下甚至远程执行代码。Node.js 已发布修复版本，但补丁需要时间，攻击者不会等你。Radware 防护签名已在数分钟内生成，正快速推送至云服务、AppWall 与 DefensePro；针对 PHP2Shell 与 Node2Shell 的一周免费防护同步开放。
一、发生了什么：Brotli 解压中的越界写入

CVE-2026-111497 是 Node.js 使用的原生 Brotli 解码器代码中的越界写入漏洞。当应用对不可信的 Brotli 数据进行解压时，攻击者只需向解码路径发送一个构造恶意的 Brotli 压缩流——无需任何身份验证——就可能：

💥 使 Node.js 进程崩溃，中断请求处理，造成服务中断；
🔓 暴露进程敏感内存，可能泄露密钥、会话等敏感信息；
⚡ 在条件高度匹配的环境中，实现任意代码执行。

只要解码路径接受攻击者可控的输入，攻击便无需登录、无需权限。常见的暴露路径包括：直接调用的 Brotli API、对 Brotli 请求体做解压的 HTTP 中间件、自动解压 Brotli 响应的 HTTP 客户端。凡是运行受影响 Node.js 版本、或使用其他内置/共享 Brotli 解码器的组织，只要应用会解压不可信 Brotli 数据，都可能暴露。

⚠️ 重点：这是全行业的 Node.js 漏洞，不针对某个特定框架、应用或安全厂商。运行受影响版本即处于风险之中，请尽快处置。
Node2Shell（CVE-2026-111497）攻击链 恶意 Brotli 压缩流 无需身份验证 应用解码不可信数据 Brotli API / 中间件 / HTTP 客户端 越界写入 ① 进程崩溃 · 服务中断 ② 敏感内存泄露 ③ 特定环境下任意代码执行 暴露路径：直接 Brotli API · 解压请求体的 HTTP 中间件 · 自动解压响应的 HTTP 客户端 全行业性问题——不限于特定框架、应用或安全厂商
▲ Node2Shell 攻击链：一个恶意压缩包，从崩溃到代码执行的三级危害
二、谁受影响：升级是治本，但窗口期真实存在

Node.js 官方已确认该漏洞在以下版本中修复，请尽快将受影响环境升级至对应分支的修复版或更新版本：

✅ 修复版本Node.js 22.23.4 ｜ Node.js 24.22.1 ｜ Node.js 26.12.1（或所在分支的更新修复版）
⚠️ 暴露条件运行受影响 Node.js 版本，且应用会解压不可信 Brotli 数据；使用其他内置/共享 Brotli 解码器的组织同样需排查。

和 PHP2Shell 一样，现实挑战在于：验证、测试、部署升级需要时间，而攻击者正是利用这段"披露—修复"之间的窗口期发起攻击。窗口期怎么办？这正是 Radware 给出答案的地方。

三、Radware 的防护：签名数分钟内生成，多层协同拦截

此次事件再次验证了 Radware "先防护、后打补丁"（Protect first. Patch safely.）的实战价值——防护签名在数分钟内即告创建完成，并正在向全线产品与云服务快速推送：

🛡 防护签名针对 CVE-2026-111497 的安全签名已发布：签名包 build 640，规则 ID 12331，正以最快速度在 Radware 云服务中 rollout。
☁️ 云服务Radware Cloud Application Protection 客户自动获得签名防护。
🏢 本地部署AppWall 现已提供防护签名，DefensePro 将随后跟进发布。
🤖 AI Xploit Shield在"漏洞披露 → 完全修复"的关键窗口期提供额外防护层，基于各组织实际环境自动生成定制化运行时防护，为安全打补丁赢得时间。
Radware 全线防护布局（签名 build 640 / 规则 12331） ⬇ 针对 CVE-2026-111497 的恶意 Brotli 流量 Radware 云安全平台 · 签名数分钟内生成 云服务 快速 rollout 中 AppWall 已提供签名 DefensePro 即将跟进发布 AI Xploit Shield 额外防护层 ✓ 拦截利用尝试 客户 Node.js 环境 升级验证 · 测试 · 全量上线期间持续受保护
▲ 云服务 + AppWall + DefensePro + AI Xploit Shield 四线协同，补丁窗口期不裸奔
AI Xploit Shield 再次展示了"先防护、后打补丁"理念的落地能力——从漏洞披露到防护签名创建，只用了几分钟。
四、🎁 PHP2Shell + Node2Shell，一周免费防护开放中

对于需要立即获得防护的客户与潜在客户，Radware 现通过其云安全平台免费提供为期一周的 PHP2Shell 与 Node.js 漏洞防护，帮助组织在修复期间压缩暴露窗口。

一周免费防护 · PHP2Shell + Node2Shell Protect first. Patch safely. CVE-2026-109618 / 109619 PHP 核心远程代码执行（PHP2Shell） CVE-2026-111497 Node.js Brotli 越界写入（Node2Shell） 通过 Radware 云安全平台提供 · 立即接入，从容打补丁
▲ 两个高危漏洞、一份免费方案：接入即可获得覆盖两个 CVE 的防护
🎁 如何申请一周免费防护

联系 Radware 申请紧急接入，说明需要"PHP2Shell 与 Node.js 漏洞一周免费防护"即可开始。

几点须知：
· 该方案限定期限、面向符合条件的组织，需完成接入流程并遵守 Radware 适用服务条款；
· 防护按"现状"免费提供，Radware 可随时修改、暂停或撤回该方案；
· 本方案仅针对这两个漏洞的防护，并非完整 Cloud Application Security 服务的试用；
· 防护是打补丁的补充，不是替代——组织仍应尽快升级至修复版本，并自行评估自身暴露面。
联系 Radware 申请紧急接入 →
五、Radware 自身受影响吗？
✅ Radware 产品与云服务均不受此漏洞影响。

Radware 已发布 CVE-2026-111497 产品影响矩阵（Product Impact Matrix），覆盖全部 Radware 产品与云服务的逐项影响分析与建议缓解措施，客户可通过 Radware 官方渠道查阅确认。

六、行动建议：现在就该做的三件事
三步走：压缩暴露窗口 1 确认防护生效 签名 build 640 规则 12331 启用 2 升级 Node.js 22.23.4 / 24.22.1 26.12.1 或更新 3 排查暴露路径 Brotli API · 中间件 自动解压的 HTTP 客户端 防护先行 · 补丁治本 · 路径收敛
▲ 推荐处置路径：防护覆盖 → 版本升级 → 暴露路径排查
✅ 具体做什么

1. 确认 Radware 防护已生效 —— Cloud Application Protection 与 AI Xploit Shield 客户确认签名 build 640（规则 ID 12331）已推送启用；AppWall 客户同步更新签名包；DefensePro 客户关注即将发布的签名更新。

2. 尽快升级 Node.js —— 将受影响环境升级至所在分支的修复版：22.23.4 / 24.22.1 / 26.12.1，或后续的更新修复版。同时排查环境中是否存在其他受影响的内置/共享 Brotli 解码器。

3. 排查应用是否解压不可信 Brotli 数据 —— 重点检查直接 Brotli API 调用、解压 Brotli 请求体的 HTTP 中间件、自动解压 Brotli 响应的 HTTP 客户端三类路径；如需立即获得防护，申请一周免费接入。

从 PHP2Shell 到 Node2Shell，模式如出一辙：漏洞披露与补丁完成之间，总有一段攻击者最爱的窗口期。Radware 的答卷是把这段窗口期从"裸奔"变成"有防护兜底"——签名数分钟内生成，云服务、AppWall、DefensePro、AI Xploit Shield 多线协同，再加上面向客户与潜在客户的一周免费防护。补丁该打还是要打，但打补丁的路上，不必孤军奋战。

参考阅读：
· Radware CVE-2026-111497 产品影响矩阵（Product Impact Matrix）
· Radware《One Week of Free PHP2Shell & Node.js Protection》官方公告
· Node.js 官方安全通告：CVE-2026-111497 修复版本 22.23.4 / 24.22.1 / 26.12.1

— END —
点击"在看" · 转发给还在跑旧版 Node.js 的后端同事