原文標題：‘Node2Shell’ vulnerability (CVE-2026-111497) in active exploitation

Sophos Counter Threat Unit 10 月 28 日發布 Node2Shell 資安提醒，指出 CVE-2026-111497 為 Google Brotli 多個版本的解碼器緩衝區溢位漏洞，涉及 c/dec/decode.c，CVSS 評分 9.2。Node.js 已在 10 月 21 日針對多項問題推出更新，其中包括這項漏洞；由於其他產品也可能採用受影響的 Brotli 實作，影響範圍不能只用是否安裝 Node.js 判斷。

此問題也被稱為 Broccoli2Shell 或 HTTP2Shell。依 Sophos 說明，成功利用可能導致記憶體資訊洩漏、服務阻斷，或遠端程式碼執行，具體後果取決於應用如何使用受影響的解碼器。官方指出已出現活躍利用通報，美國 CISA 在 10 月 27 日將 CVE-2026-111497 加入 Known Exploited Vulnerabilities（KEV）目錄。

Sophos 建議組織盤點環境中的 Brotli 函式庫、二進位檔與相依產品，確認供應商修補狀態並套用最新可用版本。Microsoft、PHP 等供應商也已針對相關產品發布更新。對使用容器映像、嵌入式元件或自行編譯 Brotli 的團隊，還需要檢查間接相依套件是否仍帶有受影響程式碼。

SophosLabs 表示將持續監測威脅活動並視需要提供偵測與防護。原文沒有列出每一款受影響軟體及對應的安全版本，也沒有公開活躍利用事件的完整受害者名單；管理員應以各供應商安全公告與自身資產清單進一步核對。

發生了什麼事

Sophos 警告 Brotli 解碼器漏洞 CVE-2026-111497 存在活躍利用，並指出 CISA 已列入 KEV。

為什麼重要

同一底層函式庫可能存在於多種產品，僅修補直接使用的 Node.js 不一定涵蓋全部風險；需要追查供應鏈與部署映像。

影響哪些人

Node.js、Brotli、PHP 相關服務的維運人員、應用程式開發者、企業資安團隊與軟體供應鏈管理者均應檢查暴露情況。

已確認與未確認

已確認 CVE、9.2 評分、可能影響及 KEV 日期；不同產品的受影響版本與可用修補方式需以各供應商公告為準。