OpenAI 發現 Brotli 存在可遠端執行程式碼的重大漏洞
OpenAI 研究人員發現 Brotli 存在一項重大漏洞，編號為 CVE-2026-111497，也稱為 Node2Shell。這項漏洞是壓縮函式庫解碼器中的越界寫入，可能讓未經驗證的攻擊者利用惡意製作的壓縮資料執行程式碼。漏洞的 CVSS 評分為 9.2，可能影響用戶端與伺服器端應用程式。
這項 Brotli 漏洞促使 Node.js、Bun、Envoy 及多個 Python 套件推出安全更新。Node.js 使用者應升級至 22.23.4、24.22.1 或 26.12.1 版本；Bun 1.4.4 之前的版本皆受影響。概念驗證程式碼已經出現，Imperva 研究人員也展示了如何可靠地利用受影響的 Node.js 建置版本發動攻擊。不過，截至 2026 年 10 月 23 日，尚無公開證據顯示攻擊已大規模發生。
加密貨幣交易者不會直接受到這項軟體漏洞影響，但交易所、錢包服務及其他加密貨幣平台應檢查是否使用有漏洞的 Brotli 元件，尤其是會處理來自不可信來源之壓縮資料的系統。這起事件凸顯數位資產產業各處所使用的軟體基礎設施面臨的網路安全風險。
Neutral
此漏洞與加密貨幣價格、代幣供應量或區塊鏈協定活動並無直接關聯，因此最適合將市場影響視為中性。它的即時關聯在於營運層面：加密貨幣交易所、託管機構、錢包服務供應商及其他服務，可能透過執行環境或相依套件使用 Brotli；若攻擊成功，可能造成服務中斷或系統暴露。交易者可以留意個別平台的事件報告，但文章並未指出任何受影響的加密貨幣公司或服務。
短期而言，概念驗證程式碼及高嚴重性評分，可能促使受影響企業進行安全檢視、安裝修補程式，並謹慎管理風險。若大型交易所或錢包服務商揭露漏洞遭利用或服務中斷，其使用者可能會提領資產或減少使用，進而造成個別平台的波動。文章沒有報告漏洞遭到大規模利用，因此預期市場出現更廣泛干擾的依據有限。
長期而言，這起事件可能促使加密貨幣公司稽核整合的開放原始碼元件，並強化供應鏈安全。類似的軟體漏洞通常引發的是針對性的營運因應，而非整個加密貨幣市場持續波動；除非它們導致已確認的入侵、資金損失或長時間服務中斷。因此，交易者應區分一般基礎設施風險與加密貨幣產業發生特定事件的證據。