Microsoft 為 .NET 緊急修補 Brotli 漏洞，自帶運行環境的程式要重建

Microsoft 為 .NET 推出緊急修補

用 .NET 開發網上服務的公司，要盡快更新及重新建置程式。Microsoft 10 月 25 日在例行更新以外推出緊急安全更新，修補 Google 壓縮程式庫 Brotli 的漏洞 CVE-2026-111497，涵蓋 .NET 8、9、10 及 .NET 11 第三個候選版本。漏洞被研究人員稱為 Node2Shell。

修正後的版本為 8.0.33、9.0.22 及 10.0.14。Visual Studio 2019、2022 及 2026，以及 PowerShell 7.4 至 7.6 亦同時獲更新。Microsoft 高級項目經理 Rahul Bhandari 表示：「我們建議盡快更新。」

漏洞出在解壓縮

Brotli 是網上常用的資料壓縮格式，其解碼器被大量應用程式及程式庫內置。漏洞屬越界寫入，影響 Brotli 1.0.3 至 1.2.0，特製的壓縮資料可令解碼器把資料寫出緩衝區範圍，造成記憶體損壞。Google 已在 1.0.10、1.1.1 及 1.2.1 修正，並給予 CVSS v4 9.2 分。

Microsoft 指，未經驗證的攻擊者可借此讀取或破壞程式記憶體，導致資料外洩、服務中斷或權限提升。Microsoft 給予 8.1 分，評估為「較有可能被利用」。

漏洞由 OpenAI 的 Codex Security 團隊在紅隊測試中發現。OpenAI 指，問題根源其實早在 2 月已在 Brotli 原始碼修正，但當時未知涉及保安漏洞，Brotli 之後亦未有推出新版本。

.NET 受影響範圍較窄

據 Microsoft，應用程式只有在透過 ASP.NET Core 的請求解壓縮、HttpClient 的自動回應解壓縮，或 System.IO.Compression 的 Brotli 功能處理壓縮資料時才受影響，而前兩項預設並未開啟。舊版 .NET Framework 不受影響。

更新方法視乎部署方式。依賴主機運行環境的程式，安裝新版運行環境再重新啟動即可。自帶運行環境的程式要用新版重新建置及發布，單單更新伺服器並不足夠；容器則要改用已更新的 .NET 映像重新建置及部署。

危險程度仍有爭議

保安公司 Imperva 已在 Linux arm64 的官方 Node.js 24.22.0 映像上示範執行任意程式碼，但並非每次成功，亦未有公開攻擊程式。JFrog 研究人員則示範以特製圖片檔經 FFmpeg 觸發漏洞，令問題不限於網絡流量。

暫未有在現實中被利用的報告。Red Hat 表示，公開的概念驗證程式只會令程式崩潰，未見可靠的遙距執行程式碼方法，亦有研究人員認為漏洞只能用於阻斷服務攻擊。

Node.js 及 Python 的兩個套件較 Microsoft 早一星期修補，Bun、Envoy、Istio 及 PHP 亦已更新。由於不少軟件內置自己的 Brotli 解碼器，每款都要各自更新；一個公開追蹤名單列出 DuckDB 及 Apache Arrow 等項目仍未修補。

來源

• .NET October 2026 Out-of-Band Security Updates（Microsoft .NET Blog）
• Node2Shell Brotli Flaw Triggers Patching Across Microsoft, Node.js, Python Packages（SecurityWeek）
• Fixes for Google Brotli flaw arrive for Microsoft .NET, PHP and Linux（iTnews）