OpenAI发现Brotli压缩库存在严重远程代码执行漏洞
OpenAI研究人员发现Brotli压缩库存在严重漏洞，编号为CVE-2026-111497，代号Node2Shell。该漏洞位于解码器中，属于越界写入，攻击者可利用精心构造的压缩数据，在无需身份验证的情况下执行代码。漏洞CVSS评分为9.2，客户端和服务器端应用均可能受到影响。
这一Brotli漏洞已促使Node.js、Bun、Envoy及多个Python软件包发布安全更新。Node.js用户应升级至22.23.4、24.22.1或26.12.1版本；低于1.4.4的Bun版本也受到影响。针对该漏洞的概念验证代码已经出现，Imperva研究人员还演示了如何稳定攻击受影响的Node.js版本。不过，截至2026年10月23日，尚无公开证据显示漏洞已遭大范围利用。
该软件漏洞不会直接影响加密货币交易，但交易所、钱包服务和其他加密平台应检查是否使用了存在漏洞的Brotli组件，尤其要关注处理不可信压缩数据的系统。此事件凸显了数字资产行业所依赖的软件基础设施面临的网络安全风险。
中性
该漏洞与加密货币价格、代币供应或区块链协议运行没有直接联系，因此市场影响判断为中性最为合适。它的直接关联在于运营安全：加密货币交易所、托管机构、钱包服务商及其他平台可能通过运行环境或依赖组件使用Brotli，成功攻击可能导致服务中断或系统遭入侵。文章没有指出任何受影响的加密货币公司或服务。
短期内，概念验证代码和高危评分可能促使受影响企业开展安全审查、安装补丁并采取谨慎的风险管理措施。如果大型交易所或钱包披露遭到攻击或服务中断，用户可能提现或减少交易，进而引发平台层面的波动。文章未报告漏洞已被大范围利用，因此目前没有充分依据预期市场出现更广泛的扰动。
长期来看，这一事件可能促使加密企业审查打包在软件中的开源组件，并加强供应链安全。类似软件漏洞通常引发针对性的运营应对，而非加密市场持续性波动；除非漏洞导致已确认的数据或资金损失，或服务长时间中断。交易者应区分一般基础设施风险与加密行业出现具体安全事件的证据。