Brotli 解压漏洞波及多语言生态
推荐指数 74.0 NO. 010 · 2026.10.25
发布2026/10/24Score233Comments116
简介
Node.js 披露的 Brotli 解压漏洞 CVE-2026-111497 已从 Node2Shell 升级为 HTTP2Shell，Python 及更多 HTTP 库和应用确认受影响，部分补丁尚未发布。AI 工程师需立即排查依赖链中的 Brotli 解码逻辑，无补丁时建议禁用 Brotli 压缩。
编辑判断
这个漏洞的杀伤力在于 Brotli 作为 HTTP 内容协商的标准压缩算法，几乎存在于所有现代 Web 栈的底层依赖中，很多团队甚至不知道自己间接引用了 Brotli。更麻烦的是 HTTP 层的攻击面比 Node.js 原生层大得多——任何接收外部 HTTP 请求并解压 Brotli 响应的服务都可能中招，包括反向代理、爬虫、Webhook 处理器。
建议立即用依赖扫描工具（如 Snyk、OWASP Dependency-Check）跑一遍生产镜像，重点看 libbrotli、 brotli-py、brotli-decoder 这类深层依赖。如果业务允许，临时在 Nginx/Envoy 层强制关闭 Accept-Encoding: br 是最快的止血方案，但会牺牲 15-25% 的传输压缩率。
社区反馈
负面 99 条评论
核心争论：漏洞命名是否过度营销，以及Python证书链修复的系统性困境
wtf Python is also effected. https://pypi.org/project/brotli/ not sure about shell
Side point from going to pypi: > Security notice: Upgrade certifi, pip, and uv in response to CA certificate incident Blimey PIP is affected? That's bad. I feel like that should have been bigger news?
Pretty sure that's the eMudhra "private key is 4" issue.