最新一期週日閱讀完整一期 →
Cloudflare 為 Node.js Brotli 漏洞推緊急 WAF 規則，但預設只記錄不封鎖
背景：Node.js 在 10 月 21 日的安全更新中修補了 CVE-2026-111497（官方評為 high）。官方公告說明，Node.js 內建的 Brotli 解碼器在遇到無效的 block switch 時，把它當成「需要更多輸入」而不是格式錯誤，導致串流解碼器持續把輸入寫進一個 8 位元組的內部緩衝區而溢…
本期其他重點
- Node.js 22／24／26 都要升級修補，容器映像也得確實重建
- Cloudflare 用戶先查全域 Block 覆寫與命中數，再決定是否改成封鎖
- 會解壓外部 Brotli 請求本文的服務，修補前可先拒收 br 編碼
- PHP2Shell 攻擊計畫曝光，台灣製造、物流與航空列第二優先目標
- Keystone 官網遭入侵，客戶姓名地址外洩，已出現冒充警方詐騙
- LiteLLM 舊簽章金鑰恐已外洩，通過簽章驗證的映像也不再可信
- LiteLLM 換金鑰後，CI 與准入政策裡寫死的 cosign.pub 要跟著更新
- 把 LiteLLM v1.107.0 惡意映像 digest 加入封鎖清單，防止誤拉
台灣・資安
電商技術棧
近期各期
- 10 月 25 日（週日）Cloudflare 為 Node.js Brotli 漏洞推緊急 WAF 規則，但預設只記錄不封鎖
- 10 月 20 日（週二）AI 滲透面板裸奔公網，惡意集群用 Agent 入侵逾百家公司、單案約 50 美元
- 10 月 18 日（週日）DeepSeek V4.1-Flash 開放權重，MIT 授權、1M context 可自行部署