頭條
【相關：Node.js】Cloudflare 為 Brotli 漏洞 CVE-2026-111497 推出緊急 WAF 規則，但預設只記錄、不封鎖
背景：Node.js 在 10 月 21 日的安全更新中修補了 CVE-2026-111497（官方評為 high）。官方公告說明，Node.js 內建的 Brotli 解碼器在遇到無效的 block switch 時，把它當成「需要更多輸入」而不是格式錯誤，導致串流解碼器持續把輸入寫進一個 8 位元組的內部緩衝區而溢…
本期其他重點
- 把 Node.js 升到 v22.23.4、v24.22.1、v26.12.1 或更新版本，並確認容器映像真的重建過
- 用 Cloudflare 的話，先檢查 Managed Ruleset 有沒有全域 Block 覆寫，再看分析頁的命中狀況，判斷要不要改成封鎖
- 自己的服務若會解壓縮外部送來的 Brotli 請求本文，在修補前考慮暫時拒收 `Content-Encoding
- LiteLLM 供應鏈攻擊新進展：維護者證實舊的映像簽章金鑰「很可能已外洩」，有效簽章不再代表映像乾淨
- 更新驗證腳本、CI 檢查與准入政策裡寫死的 `cosign.pub`
- 把官方列出的 v1.107.0 digest 加入封鎖清單
- 曾經跑過 v1.107.0 的主機要另外清查並輪替憑證，換金鑰無法清掉已經被入侵的環境
台灣・資安
你的技術棧
近期各期
- 10/25午場【相關：Node.js】Cloudflare 為 Brotli 漏洞 CVE-2026-111497 推出緊急 WAF 規則，但預設只記錄、不封鎖
- 10/25早場台灣相關：PHP2Shell。
- 10/20早場AI Agent 被用來入侵逾百家公司
- 10/18早場DeepSeek V4.1-Flash-1017 開放權重