【CVE-2026-111497】Brotliの脆弱性（Broccoli2Shell）
概要
Googleが開発するデータ圧縮ライブラリ「Brotli」において、細工された圧縮ストリームを展開（デコード）する際に境界外書き込みが発生する脆弱性が公表された。未認証の遠隔の攻撃者から悪意あるBrotli圧縮ストリームを処理させられることで、隣接するデコーダー状態メモリの破壊、機密メモリ内容の漏洩、サービス拒否（DoS）、または任意のコード実行（RCE）に至る可能性がある1。
項目
内容
CVE ID
CVE-2026-111497
対象ソフトウェア
Google Brotli（C言語デコーダー実装 c/dec/decode.c）
CVSSスコア
・9.2 Critical (CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N — Google CNA / GitHub)
・9.8 Critical (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — NVD)
・8.1 High / Important (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H — Microsoft / Red Hat / AWS)
脆弱性種別
CWE-252: 戻り値の未チェック（Unchecked Return Value）、CWE-787: 境界外書き込み（Out-of-bounds Write）
発見・報告者
Khai Tran 氏、Sylvie Mayer 氏（OpenAI Codex Security）
悪用・KEV登録状況
Imperva社がNode.js 24.22.0（Linux arm64公式イメージ）環境でのRCE実証を報告。2026年10月27日付で米国CISA KEVに追加（対策期限: 2026年11月10日）
本脆弱性は、発見から波及範囲の判明に至る経緯の中で以下の3つの通称で呼ばれている。
Node2Shell: 2026年10月21日のNode.jsセキュリティリリース公表後、Imperva Red TeamがNode.js組み込みBrotliデコーダーにおける解析およびRCE実証に命名した呼称である4。
HTTP2Shell: 当初はNode.jsに関連して「Node2Shell」と呼称されていたが、根本原因がHTTP通信（Content-Encoding: br）等で広く利用されるBrotliのC言語実装にあり、複数製品が影響を受けることから「HTTP2Shell」とも呼称されている（HTTP/2プロトコル自体の脆弱性ではない）5。
Broccoli / Broccoli2Shell: セキュリティ研究者のJuliano Rizzo氏が「Node2Shellという名称は影響範囲を狭く見せてしまう」として「Broccoli」と呼ぶことを提唱したことに端を発し、追跡サイト「broccoli2shell.com」等で用いられている呼称である6。
影響を受けるバージョンと修正バージョン
1. Brotli の影響範囲と修正状況
Brotliの公式C実装において、バージョン 1.0.3 から 1.2.0 までのデコーダーが影響を受ける。各系統の修正バージョンは以下の通りである1。
系統 / ブランチ
影響を受けるバージョン
修正版
補足
1.0 系
>= 1.0.3, < 1.0.10
1.0.10
コミット 50a9b70a（0ed4268a のバックポート）
1.1 系
>= 1.1.0, < 1.1.1
1.1.1
コミット da980636（0ed4268a のバックポート）
1.2 系
>= 1.2.0, < 1.2.1
1.2.1
コミット b418fa81 / 0ed4268a
2. 主要ランタイム・言語パッケージ・アプライアンスの対応状況
BrotliのC言語デコーダーをバンドルまたはバインディングとして組み込んでいる各ランタイム・パッケージおよびネットワーク製品の対応状況は以下の通りである。
ランタイム / 製品
影響を受けるバージョン
修正版
補足
Node.js (v24 LTS)
24.x（< 24.22.1）
v24.22.1 / v24.22.2 3
v24.22.1 で修正（v24.22.2 はリグレッション修正版）
Node.js (v22 LTS)
22.x（< 22.23.4）
v22.23.4
組み込みBrotliの更新（2026年10月セキュリティリリース）
Node.js (v26 Current)
26.x（< 26.12.1）
v26.12.1
組み込みBrotliの更新（EOL系統の <= 20.x, 23.x, 25.x も影響対象）
Bun
>= 1.0.21, < 1.4.4
1.4.4 8
バンドルするBrotliを 1.2.0 から 1.2.1 へ更新（GHSA-663w-cv8g-jj2p）
Python (brotli / PyPI)
>= 1.0.3, < 1.2.1
1.2.1 7
PyPI上の公式C拡張パッケージ（GHSA-9v8h-qqgm-4m35）
Python (brotlicffi / PyPI)
>= 1.0.3, < 1.2.1.0
1.2.1.0
Brotli C実装のCFFIバインディング（GHSA-9v8h-qqgm-4m35）
.NET 8 / 9 / 10
8.0.0〜8.0.32
9.0.0〜9.0.21
10.0.0〜10.0.13
Runtime 8.0.33
Runtime 9.0.22
Runtime 10.0.14 9
SDKは 8.0.133/8.0.427、9.0.123/9.0.320、10.0.114/10.0.403 で修正
Palo Alto Networks PAN-OS
PAN-OS 12.2 / 12.1 / 11.2 の未修正版
12.2.4-h1
12.1.7-h11 等 6
データプレーンでTLS復号とBrotli検査を有効化している場合のみ影響（デフォルト無効）
3. 主要Linuxディストリビューションの対応状況
OSの共有ライブラリ（libbrotli）およびディストリビューション提供パッケージにおける対応状況は以下の通りである。ディストリビューションによってはNode.jsや.NETパッケージがOS標準の共有ライブラリ（libbrotli）を動的リンクしているため、影響有無がパッケージ単位で異なる点に注意が必要である。
ディストリビューション
対象パッケージ
修正版
補足
Amazon Linux 2023
brotli, libbrotli, python3-brotli
nodejs24, dotnet8.0
1.1.0-1.amzn2023.0.2
アドバイザリ: ALAS2023-2026-3334（brotli）、ALAS2023-2026-3330（nodejs24）、ALAS2023-2026-3367（dotnet8.0）。nodejs22・dotnet9.0・dotnet10.0 は影響なし
Ubuntu
brotli, libbrotli1, python3-brotli
dotnet8, dotnet10, dotnet11
24.04 LTS: 1.1.0-2ubuntu0.1
22.04 LTS: 1.0.9-2ubuntu0.1
アドバイザリ: USN-8956-1（Brotli）、USN-8958-1（.NET 8.0.33 / 10.0.14）
Debian
brotli, libbrotli1
Trixie (13): 1.1.0-2+deb13u1
Bookworm (12): 1.0.9-2+deb12u1
DSA-6582-1 / DLA-4855-1。Debianの nodejs と python-brotlicffi はシステムの brotli を利用
RHEL (Red Hat)
brotli, nodejs:24, dotnet8.0, firefox, thunderbird
提供済（各RHSA）
RHSB-2026-015（Important）。RHEL 8/9の nodejs:22、RHEL 10の nodejs22/nodejs24、および dotnet9.0/10.0/11.0 はシステムの brotli を利用
4. AWS マネージドサービスの対応状況
AWSの 2026-155-AWS で公表されている主要マネージドサービスの対応状況は以下の通りである10。
対象サービス / リソース
修正版
補足
AWS Lambda（Node.js 22/24/26、.NET 8/9/10）
更新済
マネージドランタイム・ベースイメージ更新済。コンテナイメージ利用時は最新ベースイメージでの再ビルドが必要（Python/Ruby/provided.al2023 はBrotli非同梱）
AWS Elastic Beanstalk (Node.js)
6.11.12
Node.js 24.22.1 および 22.23.4 を含むプラットフォームバージョン 6.11.12 を提供済
AWS App Runner / Amplify / CodeBuild / Synthetics
更新済
App Runnerは2026年10月26日に全リージョン更新済（未デプロイのサービスは1回再デプロイが必要）
影響を受ける条件
本脆弱性は、ライブラリがシステム上に存在するだけでは発火せず、「信頼できないBrotli圧縮ストリームを、対象アプリケーションやプロキシがデコード（展開）する」 処理が行われた際に成立する6。
1. 前提となるシステム・ネットワーク構成
攻撃が成立する代表的な経路は以下の4パターンである。
パターン1：クライアントからの圧縮HTTPリクエストボディを展開するサーバー / API
クライアントから送信された Content-Encoding: br ヘッダー付きのリクエストボディを、ミドルウェア（Node.jsのExpress 5.0.0〜5.3.0やbody-parser 2.0.0〜2.3.0における raw() / json() 等）やバックエンドアプリケーションが自動または明示的にBrotli展開している構成（なお、素の node:http サーバー自体は単体ではリクエストボディを自動展開しない）。
パターン2：外部サーバーからの圧縮HTTPレスポンスを展開するHTTPクライアント / クローラー
接続先サーバーから返却された Content-Encoding: br レスポンスを自動展開する構成（Node.jsやBunの組み込み fetch()、Brotliパッケージがインストールされた環境でのPython urllib3 / requests / aiohttp / httpx[brotli] 等）。
多くのHTTPクライアントはリクエスト時に Accept-Encoding: br を送信したかどうかにかかわらず、レスポンスヘッダーに Content-Encoding: br が含まれていれば自動的にBrotliデコーダーを呼び出す。そのため、任意のURLを取得するWebhook、リンクプレビュー、クローラー、または非暗号化通信経路上の中間者攻撃において、悪意あるサーバーから一方的に Content-Encoding: br のレスポンスを返されるだけでトリガーされ得る。
パターン3：ファイアウォール等のデータプレーンにおけるトラフィック検査
Palo Alto NetworksのPAN-OS（PA-Series / VM-Series）において、データプレーン上でTLS/SSL復号（Decryption）とBrotliインスペクションの両方が有効化されている場合、通過するBrotliトラフィックをファイアウォール自身が展開するため影響を受ける。
パターン4：デコーダーAPIの直接呼び出し・ファイル処理
アーカイブ、キャッシュ、メッセージキュー等の外部データを、node:zlib（brotliDecompress*、createBrotliDecompress）、Web標準の DecompressionStream、Pythonの brotli.decompress()、.NETの BrotliStream / BrotliDecoder 等で直接展開している場合。
!
影響を受けないケース:
圧縮（エンコード）のみ・静的 .br ファイル配信のみの構成: 脆弱性はデコーダー（c/dec/decode.c）に存在するため、信頼できるデータをサーバー側でBrotli圧縮して送信するのみの構成や、事前圧縮された静的な .br ファイルをそのまま配信するだけの構成ではデコード処理が行われず、影響を受けない。
.NET のデフォルト挙動: Microsoftのアドバイザリによれば、ASP.NET Coreおよび HttpClient はデフォルトではBrotli圧縮データを自動展開しない。自動展開でBrotliを有効化するよう明示的に設定変更している場合、または System.IO.Compression（BrotliStream / BrotliDecoder）で信頼できないデータを直接展開している場合のみ影響を受ける9。
2. スタンドアロン実行ファイル・コンテナイメージに関する注意点
自己完結型バイナリ（Self-Contained / 単一実行ファイル）:
.NETのSelf-ContainedデプロイやNativeAOTでビルドされたアプリケーション、およびBunの bun build --compile で生成された実行ファイルは、ビルド時点のランタイム（および脆弱なBrotliデコーダー）をバイナリ内部に埋め込んでいるため、ランタイム更新後にアプリケーションの再ビルドと再デプロイが必要である。
動的リンクとバンドルの違い:
Red Hat Enterprise LinuxやDebian、Amazon Linux 2023では、パッケージによってBrotliを内部バンドルしているもの（例：AL2023およびRHEL 8/9の nodejs24、dotnet8.0）と、OSの共有ライブラリ libbrotli を動的リンクしているもの（例：Debianの nodejs、RHEL 8/9およびAL2023の nodejs22、dotnet9.0、dotnet10.0）が混在している。したがって、OSパッケージとランタイムの双方を確認・更新し、実行中のプロセスを再起動する必要がある。
3. 自環境の確認方法
1. Node.js のバージョンおよびバンドルされている Brotli バージョンの確認
node --version
node -p "process.versions.brotli"
2. Bun のバージョン確認（1.4.4 以上であるか）
bun --version
3. .NET ランタイムのバージョン確認（8.0.33 / 9.0.22 / 10.0.14 以上であるか）
dotnet --list-runtimes
4. Python パッケージの確認（Brotli 1.2.1 以上、brotlicffi 1.2.1.0 以上であるか）
python3 -m pip show brotli brotlicffi
5. Linux OSパッケージおよびロード済み共有ライブラリの確認
dpkg -l | grep -i brotli # Debian / Ubuntu
rpm -qa | grep -i brotli # RHEL / Amazon Linux
sudo grep -l brotlidec /proc/[0-9]*/maps 2>/dev/null
脆弱性の技術的な仕組み
前提：Brotliのブロック切り替えと高速パス（Fast Path）/ 安全パス（Safe Path）
Brotliの圧縮ストリームは複数のブロックに分割されており、デコーダーはストリームを読み進めながらリテラル（tree_type = 0）、挿入・コピーコマンド（tree_type = 1）、距離コード（tree_type = 2）のブロックタイプを切り替える。
ブロックタイプを切り替える際、デコーダーは c/dec/decode.c 内の DecodeBlockTypeAndLength() を呼び出して次のブロックタイプ番号とブロック長をビットストリームから読み取る。このときBrotliデコーダーは、入力バッファに十分なデータがある場合に境界チェックを省略して高速に処理する Fast Path（safe = 0） と、入力不足を検査しながら処理する Safe Path（safe = 1） の2つの経路を持っている。
原因：戻り値の未チェック（CWE-252）と境界外書き込み（CWE-787）
脆弱性の根本原因は、c/dec/decode.c 内の DecodeBlockTypeAndLength() が返す真偽値 BROTLI_BOOL の仕様と、呼び出し元における戻り値の未チェックにある1。
戻り値 BROTLI_FALSE における2種類の意味の混在:
修正前の DecodeBlockTypeAndLength() は戻り値として単なる真偽値（BROTLI_BOOL）を返していた。この関数は、Safe Pathで入力ビットが一時的に不足している場合（!SafeReadSymbol や !SafeReadBlockLength）に BROTLI_FALSE を返すだけでなく、ストリームのブロックタイプ最大数 max_block_type が 1 以下であるにもかかわらずブロック切り替えが要求されたというストリーム構文エラー（フォーマット不正） の場合（if (max_block_type <= 1) return BROTLI_FALSE;）にも同じ BROTLI_FALSE を返していた。
Fast Path（safe = 0）での戻り値の無視:
修正前のコードでは、Fast Path用のラッパー関数 DecodeLiteralBlockSwitch()、DecodeCommandBlockSwitch()、DecodeDistanceBlockSwitch() の戻り値型が static void と定義されており、内部で呼び出す Decode*BlockSwitchInternal(0, s) の戻り値を完全に無視していた。さらに呼び出し元のマクロ BROTLI_SAFE(METHOD) も、safe == 0 の分岐では戻り値を検証せずにそのまま処理を継続する実装となっていた。
不正な内部状態でのデコード継続と境界外書き込み:
細工された圧縮ストリームによって本来起こり得ないブロック切り替えが要求された際、脆弱なデコーダーは構文エラーで停止せず、「追加入力が必要である」状態と誤認する、あるいはFast Path上でエラーを無視して不整合な内部状態のまま処理を継続してしまう。その結果、内部バッファの終端を越えて攻撃者のバイト列が書き込まれ、隣接するデコーダー状態メモリ（BrotliDecoderState）の破壊や機密メモリの漏洩、さらには任意のコード実行（RCE）へとつながる。
攻撃フロー
修正パッチ
Googleの公式リポジトリにおける修正コミット 0ed4268a（および各ブランチへの反映コミット 50a9b70a、da980636、b418fa81）では、以下の変更が行われている2。
c/include/brotli/decode.h に、ブロック切り替えのフォーマット異常を表す新しいエラーコード BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH = -17 を追加。
DecodeBlockTypeAndLength() および各 Decode*BlockSwitch*() 関数の戻り値型を BROTLI_BOOL / void から BrotliDecoderErrorCode に変更し、max_block_type <= 1 のフォーマット異常時は BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH、入力不足時は BROTLI_DECODER_NEEDS_MORE_INPUT、成功時は BROTLI_DECODER_SUCCESS を明示的に返すように修正。
Safe PathとFast Pathの両方でステータスコードを検証し、BROTLI_DECODER_SUCCESS 以外の場合は即座に saveStateAndReturn へジャンプして処理を中断するマクロ BROTLI_SAFE_WITH_STATUS(METHOD) を導入。
c/dec/decode.c
// google/brotli commit 0ed4268a より抜粋
-static BROTLI_INLINE BROTLI_BOOL DecodeBlockTypeAndLength(
+static BROTLI_INLINE BrotliDecoderErrorCode DecodeBlockTypeAndLength(
int safe, BrotliDecoderState* s, int tree_type) {
brotli_reg_t max_block_type = s->num_block_types[tree_type];
const HuffmanCode* type_tree = &s->block_type_trees[
@@ -1187,7 +1187,7 @@
brotli_reg_t* ringbuffer = &s->block_type_rb[tree_type * 2];
brotli_reg_t block_type;
if (max_block_type <= 1) {
- return BROTLI_FALSE;
- return BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH;
}
/* Read 0..15 + 3..39 bits. */
@@ -1197,11 +1197,13 @@
} else {
BrotliBitReaderState memento;
BrotliBitReaderSaveState(br, &memento);
- if (!SafeReadSymbol(type_tree, br, &block_type)) return BROTLI_FALSE;
- if (!SafeReadSymbol(type_tree, br, &block_type)) {
- return BROTLI_DECODER_NEEDS_MORE_INPUT;
- }
if (!SafeReadBlockLength(s, &s->block_length[tree_type], len_tree, br)) {
s->substate_read_block_length = BROTLI_STATE_READ_BLOCK_LENGTH_NONE;
BrotliBitReaderRestoreState(br, &memento);
- return BROTLI_FALSE;
- return BROTLI_DECODER_NEEDS_MORE_INPUT;
}
}
...
ringbuffer[0] = ringbuffer[1];
ringbuffer[1] = block_type;
- return BROTLI_TRUE;
- return BROTLI_DECODER_SUCCESS;
}
-static BROTLI_INLINE BROTLI_BOOL DecodeLiteralBlockSwitchInternal(
+static BROTLI_INLINE BrotliDecoderErrorCode DecodeLiteralBlockSwitchInternal(
int safe, BrotliDecoderState* s) {
- if (!DecodeBlockTypeAndLength(safe, s, 0)) {
- return BROTLI_FALSE;
- BrotliDecoderErrorCode result = DecodeBlockTypeAndLength(safe, s, 0);
- if (result != BROTLI_DECODER_SUCCESS) {
- return result;
}
PrepareLiteralDecoding(s);
- return BROTLI_TRUE;
- return BROTLI_DECODER_SUCCESS;
}
-static void BROTLI_NOINLINE DecodeLiteralBlockSwitch(BrotliDecoderState* s) {
- DecodeLiteralBlockSwitchInternal(0, s);
+static BROTLI_NOINLINE BrotliDecoderErrorCode
+DecodeLiteralBlockSwitch(BrotliDecoderState* s) {
- return DecodeLiteralBlockSwitchInternal(0, s);
}
呼び出し元のマクロも以下のように BROTLI_SAFE_WITH_STATUS へ置き換えられ、safe フラグの有無にかかわらずエラー発生時にデコードが即座に停止するようになった。
c/dec/decode.c
+/* NB: METHOD should return BROTLI_DECODER_SUCCESS, BROTLI_DECODER_ERROR_*, or
- BROTLI_DECODER_NEEDS_MORE_INPUT; the later two break the processing. */
+#define BROTLI_SAFE_WITH_STATUS(METHOD) \
- { \
- BrotliDecoderErrorCode status; \
- if (safe) { \
- status = Safe##METHOD; \
- } else { \
- status = METHOD; \
- } \
- if (status != BROTLI_DECODER_SUCCESS) { \
- result = status; \
- goto saveStateAndReturn; \
- } \
- }
対策と緩和策
1. 恒久対策：修正バージョンへのアップデートと再ビルド
利用しているOSパッケージ、言語ランタイム、および依存ライブラリを修正バージョンへ更新し、稼働中のプロセスを再起動する。また、単一実行ファイル化（Bunの bun build --compile、.NETのSelf-Contained / NativeAOT）やDockerコンテナイメージを利用している場合は、更新後のランタイム・ベースイメージを用いて再ビルドおよび再デプロイを実施する必要がある。
各環境におけるアップデートコマンド例# 1. Amazon Linux 2023 の場合（ALAS2023-2026-3334 / 3330 / 3367）
sudo dnf update brotli nodejs24 dotnet8.0 -y
2. Ubuntu / Debian の場合（USN-8956-1 / USN-8958-1 / DSA-6582-1）
sudo apt update && sudo apt install --only-upgrade brotli libbrotli1 python3-brotli -y
3. Node.js の更新（nvm を利用している場合）
nvm install 24.22.1 # または 22.23.4 / 26.12.1
4. Python パッケージ（PyPI）の更新（1.2.1 / 1.2.1.0 以上）
pip install -U "Brotli>=1.2.1" "brotlicffi>=1.2.1.0"
5. Bun の更新（1.4.4 以上）
bun upgrade
2. 一時的な緩和策（アップデートが直ちに実施できない場合）
各ベンダーのアドバイザリおよび技術資料では、即座にパッチを適用できない環境向けに以下の緩和策が案内されている。
WAFやリバースプロキシにおける受信 Content-Encoding: br リクエストの遮断:
AWSのセキュリティブレティン 2026-155-AWS 等では、クライアントから送信される Content-Encoding: br ヘッダー付きHTTPリクエストをWAFやプロキシで拒否する緩和策が提示されている。AWSが公開しているAWS WAFカスタムルールの設定例（Countモードで検証後に "Count": {} を "Block": {} に変更する手順）は以下の通りである。なお、AWS WAFは受信リクエストのみを検査するため、アプリケーションが外部サーバーから取得するレスポンスには効かない点に留意が必要である10。
{
"Name": "Node2Shell_BROTLI",
"Priority": 2,
"Statement": {
"RegexMatchStatement": {
"RegexString": "^\s*br\s*$",
"FieldToMatch": { "SingleHeader": { "Name": "content-encoding" } },
"TextTransformations": [ { "Priority": 0, "Type": "LOWERCASE" } ]
}
},
"Action": { "Count": {} },
"RuleLabels": [ { "Name": "Node2Shell_Brotli" } ],
"VisibilityConfig": {
"SampledRequestsEnabled": true,
"CloudWatchMetricsEnabled": true,
"MetricName": "Node2Shell_BROTLI"
}
}
HTTPクライアントおよびPython環境におけるBrotliデコードの抑止:
注意点（Accept-Encoding ヘッダー変更の限界）: リクエストヘッダーの Accept-Encoding から br を除外したとしても、悪意あるサーバーはそれを無視して Content-Encoding: br のレスポンスを送りつけることができるため、クライアント側で自動解凍自体が有効なままでは対策として不十分である。
Bun: セキュリティアドバイザリ（GHSA-663w-cv8g-jj2p）では、fetch 呼び出し時に decompress: false を渡すことで、Accept-Encoding: br の送信を抑止するとともにレスポンス自体の自動デコードを無効化する回避策が案内されている8。
Python: 直ちにアップグレードできない場合の緩和策として、Brotli および brotlicffi パッケージ（ならびに httpx[brotli] 等のextra指定）自体をアンインストールし、urllib3、requests、aiohttp 等でBrotliデコーダーが呼び出されない状態（gzip / deflate へのフォールバック）にする方法が挙げられている6。
PAN-OS: ホットフィックス適用までの回避策としてCLIから set system setting brotli-encoding disable を実行（またはWeb UIの Device > Setup > Content-ID から Allow Brotli Encoding のチェックを解除）してBrotliインスペクションを無効化する手順が案内されている。
参考資料・出典一覧
CVE.org - CVE-2026-111497
Google Brotli GitHub Repository - Commit 0ed4268a
Node.js - Wednesday, October 21, 2026 Security Releases
Imperva Blog - Node2Shell: From Brotli Data to Remote Code Execution (CVE-2026-111497)
JPCERT/CC - BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関する注意喚起 (JPCERT-AT-2026-0034)
Broccoli2Shell: Brotli decoder RCE (CVE-2026-111497) in Node.js, Python and more
GitHub Advisory Database - GHSA-9v8h-qqgm-4m35 (PyPI brotli / brotlicffi)
Bun Security Advisory - GHSA-663w-cv8g-jj2p
Microsoft .NET Security Advisory - CVE-2026-111497: Out of bounds write in Brotli leads to RCE
AWS Security Bulletin - 2026-155-AWS: CVE-2026-111497: Native Brotli Decoder Remote Code Execution and Memory Disclosure
Node2Shell (CVE-2026-111497): which Node.js versions fix it and where Node hides
Node2Shell is the name researchers gave CVE-2026-111497, a flaw in the Brotli decoder that ships inside Node.js. On 21 October 2026 the Node.js project fixed it in 22.23.4, 24.22.1 and 26.12.1. An app that decompresses Brotli data someone else can supply, such as a compressed request body or a response fetched from another server, can crash, leak memory or run an attacker's code. The fix is in Node.js itself, so npm update doesn't apply it: the runtime has to be upgraded everywhere it runs.
What Node2Shell is
Brotli is a compression format that web servers and browsers use alongside gzip. Node.js bundles a Brotli decoder in node:zlib. The Node.js advisory describes the bug: an invalid block switch in a compressed stream was treated as a temporary need for more input instead of a format error, so the decoder kept appending bytes to an eight-byte internal buffer and wrote past its end. Memory corruption like that can crash the process, leak memory, or let an attacker run code.
Node.js rates it high and says it permits remote code execution. It was reported by OpenAI Codex Security. Imperva's researchers then reproduced it as code execution without authentication, and proof-of-concept code is public, so treat every unpatched Node.js service that handles outside data as a target.
Are you exposed?
A Node.js process is exposed when it, or a library it uses, decompresses Brotli data that an attacker controls. Imperva tested two common ways that happens.
Incoming requests. Express 5 and body-parser 2 decompress request bodies sent with Content-Encoding: br, because body-parser's inflate option is on by default. So an app with app.use(express.json()) can be reached by a single crafted request, before any login.
Outgoing requests. Node's built-in fetch() asks for and decompresses Brotli responses on its own. Any server your code calls that an attacker controls or has compromised can reach the decoder: webhooks you call back, link previews, scrapers, AI agents that fetch the pages a user gives them, health checks of other sites.
Code that calls the Brotli functions in node:zlib directly on outside data is exposed the same way. Firewalls in front of your app only see the first path: they can't inspect what your code fetches from elsewhere.
Which versions fix it
Each supported Node.js line has one release with the fix (the table below). The same release also fixes nine other vulnerabilities, including three TLS certificate and DNS bugs rated high, so it's worth taking even if your app never touches Brotli.
Node.js 20 and older get no fix: they're past end of life, and the Node.js project says end-of-life versions are always affected when a security release ships. Bun, which bundles its own Brotli decoder, fixed the same flaw in 1.4.4.
Where Node.js hides
The upgrade has to reach every copy of Node that runs your code, and there are usually more than one.
Container images. A Dockerfile pinned to an exact version, such as node:24.22.0, stays vulnerable however often you rebuild it: move the pin to 24.22.1 or later. Base images that bundle their own Node (browser-testing images, for example) pin whatever was current when they were built, so upgrade Node inside them too.
Servers and CI. Node installed with nvm, a package manager or a CI setup action is upgraded there, then the service restarted.
Hosting platforms. Vercel deployed firewall rules against the incoming path for every project on 21 October and manages patch versions for its Node.js 22.x and 24.x runtimes, so those projects need no version change. Projects still on Node.js 20 must switch to 22.x or 24.x and redeploy. Vercel also notes its firewall doesn't cover responses your functions fetch from other servers. On other hosts, check the platform's own notice for which Node version your functions run.
Apps built with AI. If an AI app builder or coding agent wrote your app's server code, the question is the same: which runtime runs it, and at which version. See monitoring for AI-built apps for what else to watch once it's live.
How to check
Run node --version on laptops, CI runners and servers, and docker run --rm <image> node --version for each container image. In a running service you can log process.version at startup. Anything below the fixed release for its line, or on Node.js 20 or older, needs upgrading.
If you can't update today
Upgrading is the fix. Until it's rolled out, you can narrow the incoming path: refuse requests with Content-Encoding: br at your proxy or firewall, or set inflate: false on body-parser and express.json(), which rejects every compressed request body (check first that none of your clients send them).
There's no setting that protects the outgoing path, because a malicious server can send a Brotli response whatever your code asks for. Avoid fetching untrusted URLs from unpatched services until they're upgraded.
Runtimes with the Node2Shell fix
| Runtime | Fixed in | Note |
|---|---|---|
| Node.js 26 | 26.12.1 | Current release line |
| Node.js 24 | 24.22.1 | LTS |
| Node.js 22 | 22.23.4 | LTS |
| Node.js 20 and older | No fix | End of life: upgrade to 22 or 24 |
| Bun | 1.4.4 | Bundles its own Brotli decoder |
Questions, answered
Does npm update fix Node2Shell?
No. The flaw is in Node.js itself, not in a package, so updating dependencies doesn't change it. Upgrade the Node.js runtime to 22.23.4, 24.22.1 or 26.12.1 or newer wherever your code runs, then restart or redeploy.
I don't use Express. Am I safe?
Not necessarily. Node's built-in fetch() decompresses Brotli responses by default, so code that fetches from servers you don't control is exposed whatever framework you use. Upgrade Node anyway.
My app is on Vercel. Do I need to do anything?
On Node.js 22.x or 24.x, Vercel manages the patch version and has firewall rules against malicious request bodies, so no version change is needed. On Node.js 20, switch to 22.x or 24.x and redeploy. Vercel's firewall doesn't cover responses your functions fetch from other servers.
I'm on Node.js 20 or 18. What now?
They get no fix: both are past end of life. Upgrade to Node.js 22 or 24, test, and redeploy.
Does a web application firewall protect me?
Only against crafted requests coming in. It can't see the responses your code fetches from other servers, which is the other way in. Rules buy time; the upgrade is the fix.
Sources
- Node.js — Wednesday, October 21, 2026 Security Releases
- Imperva — Node2Shell: From Brotli Data to Remote Code Execution
- Vercel — Node.js security advisory: Brotli decoder RCE (CVE-2026-111497)
- Aikido — Node2Shell: Node.js Brotli vulnerability allows remote code execution and the fix
- body-parser — the inflate option (expressjs/body-parser)
- Bun — brotli: reject invalid block switch (CVE-2026-111497), oven-sh/bun #46351
Last week, we published 3 security advisories including Brotli, tls certificates, and quic
As future hardening, we will replace most of Bun’s C/C++ dependencies with our own safe Rust implementation.
Starting with libarchive
bun#46638
244 likes · 6 reposts · 7,420 views
HdrHistogram is another
bun#46650
33 likes · 2,288 views
Node2Shell: Google's Brotli Bug Hits Node.js, Bun and Python (Update Now)
A memory bug in Google's Brotli decoder (CVE-2026-111497) lets crafted compressed data crash an app, leak memory or possibly run an attacker's code. Node.js fixed it on 21 October 2026, and the same decoder also sits in Bun, the Python Brotli and brotlicffi packages, and Envoy. Imperva researchers, who call it "Node2Shell", ran code on an official Node.js build in a lab test; no attacks in the wild have been reported. An OpenAI Codex Security team found it, and the fix sat in Brotli's source code since February without a security release.
Honest miss, or should that fix have shipped back in February? Comment your side. Like and subscribe for more.
What to update: Node.js 22.23.4, 24.22.1 or 26.12.1 (Node.js 20 and older get no fix). Bun 1.4.4 or newer. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 or 1.37.8. libbrotli 1.2.1, 1.1.1 or 1.0.10. Then restart services and rebuild container images.
Sources:
• Node.js security release (21 Oct 2026): nodejs.org
• CVE record (Google): cve.org
• NVD: nvd.nist.gov
• Google Brotli v1.2.1 release: github.com/google/brotli/releases/tag/v1.2.1
• GitHub advisory (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35
• Envoy advisory: github.com/envoyproxy/envoy/security/advisories/G…
• Bun fix: bun#46352 and bun.com
• The Hacker News (22 Oct): thehackernews.com
• The Hacker News (23 Oct): thehackernews.com
• The Hacker News (24 Oct): thehackernews.com
• Cybernews: cybernews.com
Image credits:
• Page screenshots: nodejs.org, The Hacker News, GitHub (google/brotli)
• Node.js logo via Wikimedia Commons (MIT)
• Python logo via Wikimedia Commons
• Google "G" logo via Wikimedia Commons
• Bun logo: bun.com (official logo)
Node.js is a trademark of the OpenJS Foundation. Python is a trademark of the Python Software Foundation. Google and Brotli are trademarks of Google LLC. Bun and Envoy are trademarks of their owners. Used for news commentary.
This Short uses an AI voice and AI-assisted editing. Facts checked against the sources above.
#NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts
[ar] Node2Shell: ثغرة Brotli من جوجل تصيب Node.js وBun وPython (حدّث الآن)
ثغرة أمنية في ذاكرة برنامج فك تشفير Brotli من جوجل (CVE-2026-111497) تسمح بتعطيل التطبيقات، وتسريب الذاكرة، أو حتى تشغيل شيفرة برمجية خبيثة. أصلحت Node.js هذه الثغرة في 21 أكتوبر 2026، وهي موجودة أيضًا في Bun، وحزمتي Brotli وbrotlicffi في بايثون، وEnvoy. أجرى باحثو Imperva، الذين أطلقوا عليها اسم "Node2Shell"، اختبارًا عمليًا على نسخة رسمية من Node.js، ولم تُسجّل أي هجمات فعلية. اكتشف فريق أمن OpenAI Codex هذه الثغرة، وظلّ الإصلاح مُضمّنًا في شيفرة Brotli المصدرية منذ فبراير دون إصدار تحديث أمني.
هل كان هذا خطأً غير مقصود، أم كان من المفترض إصدار هذا الإصلاح في فبراير؟ شاركنا رأيك في التعليقات. لا تنسَ الإعجاب والاشتراك للمزيد.
ما يجب تحديثه: Node.js 22.23.4 أو 24.22.1 أو 26.12.1 (لا يتم إصلاح Node.js 20 والإصدارات الأقدم). Bun 1.4.4 أو أحدث. Python: Brotli 1.2.1 أو brotlicffi 1.2.1.0. Envoy 1.40.0 أو 1.39.3 أو 1.38.6 أو 1.37.8. libbrotli 1.2.1 أو 1.1.1 أو 1.0.10. ثم أعد تشغيل الخدمات وأعد بناء صور الحاويات.
المصادر:
• إصدار أمني لـ Node.js (21 أكتوبر 2026): nodejs.org
• سجل CVE (جوجل): cve.org
• قاعدة بيانات الثغرات الأمنية الوطنية (NVD): nvd.nist.gov
• إصدار Google Brotli v1.2.1: github.com/google/brotli/releases/tag/v1.2.1
• إشعار GitHub (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35
• إشعار Envoy: github.com/envoyproxy/envoy/security/advisories/G…
• إصلاح Bun: bun#46352 و bun.com
• ذا هاكر نيوز (22 أكتوبر): thehackernews.com
• ذا هاكر نيوز (23 أكتوبر): thehackernews.com
• ذا هاكر نيوز (24 أكتوبر): thehackernews.com
• سايبر نيوز: cybernews.com
مصادر الصور:
• لقطات شاشة للصفحة: nodejs.org، The Hacker News، GitHub (google/brotli)
• شعار Node.js عبر ويكيميديا كومنز (MIT)
• شعار بايثون عبر ويكيميديا كومنز
• شعار جوجل "G" عبر ويكيميديا كومنز
• شعار Bun: bun.com (الشعار الرسمي)
Node.js علامة تجارية لمؤسسة OpenJS. بايثون علامة تجارية لمؤسسة برمجيات بايثون. جوجل وBrotli علامتان تجاريتان لشركة جوجل. Bun وEnvoy علامتان تجاريتان لمالكيهما. استُخدمت هذه المعلومات لأغراض التعليق الإخباري.
يستخدم هذا الفيديو القصير تقنية الذكاء الاصطناعي في التعليق الصوتي والتحرير. تم التحقق من الحقائق بالرجوع إلى المصادر المذكورة أعلاه.
#NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts
[bn] Node2Shell: গুগলের Brotli বাগ Node.js, Bun এবং Python-এ আঘাত হেনেছে (এখনই আপডেট করুন)
গুগলের ব্রোটলি ডিকোডারের (CVE-2026-111497) একটি মেমরি বাগের কারণে বিশেষভাবে তৈরি করা কম্প্রেসড ডেটা একটি অ্যাপ ক্র্যাশ করতে, মেমরি লিক করতে অথবা আক্রমণকারীর কোড চালাতে পারে। নোড.জেএস (Node.js) ২১ অক্টোবর ২০২৬ তারিখে এটি ঠিক করেছে, এবং একই ডিকোডারটি বান (Bun), পাইথনের ব্রোটলি (Brotli) ও ব্রোটলিকএফএফআই (brotlicffi) প্যাকেজ এবং এনভয় (Envoy)-তেও রয়েছে। ইম্পারভা (Imperva)-র গবেষকরা, যারা এটিকে "নোডটুশেল" (Node2Shell) বলেন, একটি ল্যাব টেস্টে অফিসিয়াল নোড.জেএস বিল্ডে কোডটি চালিয়েছিলেন; বাস্তবে কোনো আক্রমণের খবর পাওয়া যায়নি। ওপেনএআই কোডেক্স সিকিউরিটি (OpenAI Codex Security)-র একটি দল এটি খুঁজে পায়, এবং কোনো সিকিউরিটি রিলিজ ছাড়াই ফেব্রুয়ারি মাস থেকে এর সমাধানটি ব্রোটলির সোর্স কোডে ছিল।
এটি কি একটি সাধারণ ভুল, নাকি সমাধানটি ফেব্রুয়ারিতেই প্রকাশ করা উচিত ছিল? আপনার মতামত কমেন্ট করে জানান। আরও ভিডিওর জন্য লাইক এবং সাবস্ক্রাইব করুন।
কী আপডেট করতে হবে: নোড.জেএস ২২.২৩.৪, ২৪.২২.১ অথবা ২৬.১২.১ (নোড.জেএস ২০ এবং এর আগের সংস্করণগুলোর জন্য কোনো সমাধান নেই)। Bun 1.4.4 বা নতুন সংস্করণ। Python: Brotli 1.2.1, brotlicffi 1.2.1.0। Envoy 1.40.0, 1.39.3, 1.38.6 বা 1.37.8। libbrotli 1.2.1, 1.1.1 বা 1.0.10। তারপর সার্ভিসগুলো রিস্টার্ট করুন এবং কন্টেইনার ইমেজগুলো রি-বিল্ড করুন।
উৎসসমূহ:
• Node.js নিরাপত্তা রিলিজ (২১ অক্টোবর ২০২৬): nodejs.org
• CVE রেকর্ড (গুগল): cve.org
• NVD: nvd.nist.gov
• গুগল ব্রোটলি v1.2.1 রিলিজ: github.com/google/brotli/releases/tag/v1.2.1
• গিটহাব অ্যাডভাইজরি (পাইথন ব্রোটলি): advisories/GHSA-9v8h-qqgm-4m35
• এনভয় অ্যাডভাইজরি: github.com/envoyproxy/envoy/security/advisories/G…
• Bun ফিক্স: bun#46352 এবং bun.com
• দ্য হ্যাকার নিউজ (২২ অক্টোবর): thehackernews.com
• দ্য হ্যাকার নিউজ (২৩ অক্টোবর): thehackernews.com
• দ্য হ্যাকার নিউজ (২৪ অক্টোবর): thehackernews.com
• সাইবারনিউজ: cybernews.com
ছবির উৎস:
• পেজের স্ক্রিনশট: nodejs.org, The Hacker News, GitHub (google/brotli)
• উইকিমিডিয়া কমন্সের সৌজন্যে Node.js লোগো (MIT)
• উইকিমিডিয়া কমন্সের সৌজন্যে Python লোগো
• উইকিমিডিয়া কমন্সের সৌজন্যে Google "G" লোগো
• Bun লোগো: bun.com (অফিসিয়াল লোগো)
Node.js হলো OpenJS ফাউন্ডেশনের একটি ট্রেডমার্ক। Python হলো Python সফটওয়্যার ফাউন্ডেশনের একটি ট্রেডমার্ক। Google এবং Brotli হলো Google LLC-এর ট্রেডমার্ক। Bun এবং Envoy হলো তাদের নিজ নিজ মালিকদের ট্রেডমার্ক। সংবাদ ভাষ্যের জন্য ব্যবহৃত।
এই শর্টটিতে একটি AI ভয়েস এবং AI-সহায়তায় সম্পাদনা ব্যবহার করা হয়েছে। উপরের উৎসগুলোর সাথে তথ্য যাচাই করা হয়েছে।
#NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts
[de-DE] Node2Shell: Googles Brotli-Bug trifft Node.js, Bun und Python (Jetzt updaten)
Ein Speicherfehler im Brotli-Decoder von Google (CVE-2026-111497) ermöglicht es, durch manipulierte komprimierte Daten eine Anwendung zum Absturz zu bringen, Speicherlecks zu verursachen oder möglicherweise Schadcode auszuführen. Node.js hat den Fehler am 21. Oktober 2026 behoben. Derselbe Decoder ist auch in Bun, den Python-Paketen Brotli und brotlicffi sowie in Envoy enthalten. Forscher von Imperva, die ihn „Node2Shell“ nennen, testeten den Code in einem Labor mit einer offiziellen Node.js-Version. Bisher wurden keine Angriffe in freier Wildbahn gemeldet. Ein Sicherheitsteam des OpenAI Codex entdeckte den Fehler, und die Korrektur war seit Februar ohne Sicherheitsupdate im Quellcode von Brotli enthalten.
War das ein Versehen, oder hätte die Korrektur bereits im Februar veröffentlicht werden sollen? Teilen Sie Ihre Meinung in den Kommentaren. Liken und abonnieren Sie für mehr.
Zu aktualisierende Versionen: Node.js 22.23.4, 24.22.1 oder 26.12.1 (Node.js 20 und ältere Versionen erhalten keine Korrektur). Bun 1.4.4 oder neuer. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 oder 1.37.8. libbrotli 1.2.1, 1.1.1 oder 1.0.10. Starten Sie anschließend die Dienste neu und erstellen Sie die Container-Images neu.
... Quellen:
• Node.js-Sicherheitsupdate (21. Oktober 2026): nodejs.org
• CVE-Eintrag (Google): cve.org
• NVD: nvd.nist.gov
• Google Brotli v1.2.1: github.com/google/brotli/releases/tag/v1.2.1
• GitHub-Warnung (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35
• Envoy-Warnung: github.com/envoyproxy/envoy/security/advisories/G…
• Bun-Fix: bun#46352 und bun.com
• The Hacker News (22. Okt.): thehackernews.com
• The Hacker News (23. Okt.): thehackernews.com
• The Hacker News (24. Okt.): thehackernews.com
• Cybernews: cybernews.com
Bildnachweise:
• Screenshots: nodejs.org, The Hacker News, GitHub (google/brotli)
• Node.js-Logo via Wikimedia Commons (MIT)
• Python-Logo via Wikimedia Commons
• Google-„G“-Logo via Wikimedia Commons
• Bun-Logo: bun.com (offizielles Logo)
Node.js ist eine Marke der OpenJS Foundation. Python ist eine Marke der Python Software Foundation. Google und Brotli sind Marken von Google LLC. Bun und Envoy sind Marken ihrer jeweiligen Inhaber. Verwendung für Nachrichtenkommentare.
Dieser Kurzbeitrag wurde mit KI-Stimme und KI-gestützter Bearbeitung erstellt. Die Fakten wurden anhand der oben genannten Quellen überprüft.
#NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts
[es-US] Node2Shell: El bug de Brotli de Google afecta a Node.js, Bun y Python (Actualiza ahora)
Un fallo de memoria en el decodificador Brotli de Google (CVE-2026-111497) permite que datos comprimidos manipulados provoquen el bloqueo de una aplicación, fugas de memoria o incluso la ejecución de código malicioso. Node.js lo solucionó el 21 de octubre de 2026, y el mismo decodificador también se encuentra en Bun, los paquetes Brotli y brotlicffi de Python, y Envoy. Investigadores de Imperva, que lo denominan "Node2Shell", ejecutaron código en una compilación oficial de Node.js en una prueba de laboratorio; no se han reportado ataques en la práctica. Un equipo de seguridad de OpenAI Codex descubrió el fallo, y la solución permaneció en el código fuente de Brotli desde febrero sin una actualización de seguridad.
¿Fue un error honesto o debería haberse implementado la solución en febrero? Deja tu opinión en los comentarios. Dale a "Me gusta" y suscríbete para más contenido.
Qué actualizar: Node.js 22.23.4, 24.22.1 o 26.12.1 (Node.js 20 y versiones anteriores no reciben corrección). Bun 1.4.4 o posterior. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 o 1.37.8. libbrotli 1.2.1, 1.1.1 o 1.0.10. Luego, reinicie los servicios y reconstruya las imágenes de los contenedores.
Fuentes:
• Comunicado de seguridad de Node.js (21 de octubre de 2026): nodejs.org
• Registro CVE (Google): cve.org
• NVD: nvd.nist.gov
• Versión 1.2.1 de Google Brotli: github.com/google/brotli/releases/tag/v1.2.1
• Aviso de GitHub (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35
• Aviso de Envoy: github.com/envoyproxy/envoy/security/advisories/G…
• Corrección de Bun: bun#46352 y bun.com
• The Hacker News (22 de octubre): thehackernews.com
• The Hacker News (23 de octubre): thehackernews.com
• The Hacker News (24 de octubre): thehackernews.com
• Cybernews: cybernews.com
Créditos de las imágenes:
• Capturas de pantalla de la página: nodejs.org, The Hacker News, GitHub (google/brotli)
• Logotipo de Node.js vía Wikimedia Commons (MIT)
• Logotipo de Python vía Wikimedia Commons
• Logotipo de Google (la "G") vía Wikimedia Commons
• Logotipo de Bun: bun.com (logotipo oficial)
Node.js es una marca registrada de la OpenJS Foundation. Python es una marca registrada de la Python Software Foundation. Google y Brotli son marcas registradas de Google LLC. Bun y Envoy son marcas registradas de sus respectivos propietarios. Usadas para comentarios informativos.
Este artículo breve utiliza voz generada por IA y edición asistida por IA. Los datos se verificaron con las fuentes mencionadas.
#NodeJS #Ciberseguridad #Node2Shell #NoticiasTecnológicas #ArtículosBreves
[fr-FR] Node2Shell : La faille Brotli de Google affecte Node.js, Bun et Python (Mise à jour disponible)
Une faille de mémoire dans le décodeur Brotli de Google (CVE-2026-111497) permet à des données compressées spécialement conçues de provoquer le plantage d'une application, une fuite de mémoire, voire l'exécution de code malveillant. Node.js a corrigé cette faille le 21 octobre 2026. Ce même décodeur est également présent dans Bun, les packages Python Brotli et brotlicffi, ainsi que dans Envoy. Les chercheurs d'Imperva, qui la surnomment « Node2Shell », ont testé cette vulnérabilité sur une version officielle de Node.js en laboratoire ; aucune attaque n'a été signalée depuis. L'équipe de sécurité d'OpenAI Codex a découvert la faille, et le correctif était présent dans le code source de Brotli depuis février sans qu'une mise à jour de sécurité ne soit publiée.
Simple erreur, ou ce correctif aurait-il dû être déployé dès février ? Donnez votre avis. Abonnez-vous pour plus de contenu.
Mises à jour requises : Node.js 22.23.4, 24.22.1 ou 26.12.1 (Node.js 20 et versions antérieures ne sont pas concernées). Bun 1.4.4 ou version ultérieure. Python : Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 ou 1.37.8. libbrotli 1.2.1, 1.1.1 ou 1.0.10. Redémarrez ensuite les services et reconstruisez les images de conteneur.
Sources :
• Correctif de sécurité Node.js (21 oct. 2026) : nodejs.org
• Fiche CVE (Google) : cve.org
• NVD : nvd.nist.gov
• Version 1.2.1 de Google Brotli : github.com/google/brotli/releases/tag/v1.2.1
• Avis de sécurité GitHub (Python Brotli) : advisories/GHSA-9v8h-qqgm-4m35
• Avis de sécurité Envoy : github.com/envoyproxy/envoy/security/advisories/G…
• Correctif Bun : bun#46352 et bun.com
• The Hacker News (22 oct.) : thehackernews.com
• The Hacker News (23 oct.) : thehackernews.com
• The Hacker News (24 oct.) : thehackernews.com
• Cybernews : cybernews.com
Crédits images :
• Captures d’écran : nodejs.org, The Hacker News, GitHub (google/brotli)
• Logo Node.js : Wikimedia Commons (MIT)
• Logo Python : Wikimedia Commons
• Logo « G » de Google : Wikimedia Commons
• Logo Bun : bun.com (logo officiel)
Node.js est une marque déposée de la Fondation OpenJS. Python est une marque déposée de la Fondation Python Software. Google et Brotli sont des marques déposées de Google LLC. Bun et Envoy sont des marques déposées de leurs propriétaires respectifs. Utilisé à des fins de commentaire.
Ce court métrage utilise une voix de synthèse et un montage assisté par IA. Les faits ont été vérifiés à partir des sources ci-dessus.
#NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts
[hi] Node2Shell: गूगल का Brotli बग Node.js, Bun और Python को प्रभावित कर रहा है (अभी अपडेट करें)
Google के Brotli डिकोडर में मौजूद मेमोरी बग (CVE-2026-111497) के कारण, संशोधित संपीड़ित डेटा किसी ऐप को क्रैश कर सकता है, मेमोरी लीक कर सकता है या संभवतः हमलावर का कोड चला सकता है। Node.js ने इसे 21 अक्टूबर 2026 को ठीक कर दिया था, और यही डिकोडर Bun, Python के Brotli और brotlicffi पैकेजों और Envoy में भी मौजूद है। Imperva के शोधकर्ताओं, जो इसे "Node2Shell" कहते हैं, ने एक लैब टेस्ट में आधिकारिक Node.js बिल्ड पर कोड चलाया; अभी तक किसी भी तरह के हमले की रिपोर्ट नहीं मिली है। OpenAI Codex सुरक्षा टीम ने इसे खोजा था, और यह फिक्स फरवरी से ही Brotli के सोर्स कोड में बिना किसी सुरक्षा रिलीज़ के मौजूद था।
क्या यह एक चूक थी, या यह फिक्स फरवरी में ही जारी कर दिया जाना चाहिए था? अपनी राय कमेंट करें। अधिक जानकारी के लिए लाइक और सब्सक्राइब करें।
क्या अपडेट करना है: Node.js 22.23.4, 24.22.1 या 26.12.1 (Node.js 20 और पुराने संस्करणों के लिए कोई समाधान नहीं है)। Bun 1.4.4 या नया संस्करण। Python: Brotli 1.2.1, brotlicffi 1.2.1.0। Envoy 1.40.0, 1.39.3, 1.38.6 या 1.37.8। libbrotli 1.2.1, 1.1.1 या 1.0.10। फिर सेवाओं को रीस्टार्ट करें और कंटेनर इमेज को रीबिल्ड करें।
स्रोत:
• Node.js सुरक्षा रिलीज़ (21 अक्टूबर 2026): nodejs.org
• CVE रिकॉर्ड (Google): cve.org
• NVD: nvd.nist.gov
• Google Brotli v1.2.1 रिलीज़: github.com/google/brotli/releases/tag/v1.2.1
• GitHub एडवाइज़री (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35
• Envoy एडवाइज़री: github.com/envoyproxy/envoy/security/advisories/G…
• Bun फिक्स: bun#46352 और bun.com
• द हैकर न्यूज़ (22 अक्टूबर): thehackernews.com
• द हैकर न्यूज़ (23 अक्टूबर): thehackernews.com
• द हैकर न्यूज़ (24 अक्टूबर): thehackernews.com
• साइबरन्यूज़: cybernews.com
छवि क्रेडिट:
• पृष्ठ स्क्रीनशॉट: nodejs.org, द हैकर न्यूज़, GitHub (google/brotli)
• Node.js लोगो विकिमीडिया कॉमन्स (MIT) के माध्यम से
• Python लोगो विकिमीडिया कॉमन्स के माध्यम से
• Google "G" लोगो विकिमीडिया कॉमन्स के माध्यम से
• Bun लोगो: bun.com (आधिकारिक लोगो)
Node.js ओपनजेएस फाउंडेशन का ट्रेडमार्क है। Python, Python सॉफ्टवेयर फाउंडेशन का ट्रेडमार्क है। Google और Brotli, Google LLC के ट्रेडमार्क हैं। Bun और Envoy, उनके स्वामियों के ट्रेडमार्क हैं। समाचार टिप्पणी के लिए उपयोग किया गया।
इस लघु वीडियो में कृत्रिम आवाज और कृत्रिम संपादन का उपयोग किया गया है। तथ्यों की जांच उपरोक्त स्रोतों से की गई है।
#NodeJS #साइबरसुरक्षा #Node2Shell #तकनीकीसमाचार #शॉर्ट्स
[id] Node2Shell: Bug Brotli Google Menyerang Node.js, Bun, dan Python (Segera Perbarui)
Sebuah celah keamanan memori pada decoder Brotli milik Google (CVE-2026-111497) memungkinkan data terkompresi yang dibuat khusus untuk menyebabkan aplikasi crash, kebocoran memori, atau bahkan menjalankan kode penyerang. Node.js memperbaikinya pada 21 Oktober 2026, dan decoder yang sama juga terdapat di Bun, paket Python Brotli dan brotlicffi, serta Envoy. Peneliti Imperva, yang menyebutnya "Node2Shell", menjalankan kode pada build Node.js resmi dalam uji laboratorium; belum ada serangan yang dilaporkan di lapangan. Tim Keamanan OpenAI Codex menemukannya, dan perbaikan tersebut telah ada di kode sumber Brotli sejak Februari tanpa rilis keamanan.
Kesalahan yang jujur, atau seharusnya perbaikan tersebut sudah dirilis sejak Februari? Berikan pendapat Anda. Sukai dan berlangganan untuk informasi lebih lanjut.
Yang perlu diperbarui: Node.js 22.23.4, 24.22.1 atau 26.12.1 (Node.js 20 dan yang lebih lama tidak mendapatkan perbaikan). Bun 1.4.4 atau yang lebih baru. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 atau 1.37.8. libbrotli 1.2.1, 1.1.1 atau 1.0.10. Kemudian mulai ulang layanan dan bangun ulang citra kontainer.
Sumber:
• Rilis keamanan Node.js (21 Oktober 2026): nodejs.org
• Catatan CVE (Google): cve.org
• NVD: nvd.nist.gov
• Rilis Google Brotli v1.2.1: github.com/google/brotli/releases/tag/v1.2.1
• Pemberitahuan GitHub (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35
• Pemberitahuan Envoy: github.com/envoyproxy/envoy/security/advisories/G…
• Perbaikan Bun: bun#46352 dan bun.com
• The Hacker News (22 Okt): thehackernews.com
• The Hacker News (23 Okt): thehackernews.com
• The Hacker News (24 Okt): thehackernews.com
• Berita Siber: cybernews.com
Sumber gambar:
• Tangkapan layar halaman: nodejs.org, The Hacker News, GitHub (google/brotli)
• Logo Node.js melalui Wikimedia Commons (MIT)
• Logo Python melalui Wikimedia Commons
• Logo Google "G" melalui Wikimedia Commons
• Logo Bun: bun.com (logo resmi)
Node.js adalah merek dagang dari OpenJS Foundation. Python adalah merek dagang dari Python Software Foundation. Google dan Brotli adalah merek dagang dari Google LLC. Bun dan Envoy adalah merek dagang dari pemiliknya. Digunakan untuk komentar berita.
Video pendek ini menggunakan suara AI dan pengeditan yang dibantu AI. Fakta diperiksa terhadap sumber di atas.
#NodeJS #KeamananSiber #Node2Shell #BeritaTeknologi #VideoPendek
[it] Node2Shell: il bug di Brotli di Google colpisce Node.js, Bun e Python (Aggiorna ora)
Un bug di memoria nel decoder Brotli di Google (CVE-2026-111497) permette a dati compressi appositamente creati di causare il crash di un'applicazione, perdite di memoria o potenzialmente l'esecuzione di codice malevolo. Node.js lo ha corretto il 21 ottobre 2026 e lo stesso decoder è presente anche in Bun, nei pacchetti Python Brotli e brotlicffi e in Envoy. I ricercatori di Imperva, che lo chiamano "Node2Shell", hanno eseguito del codice su una build ufficiale di Node.js in un test di laboratorio; non sono stati segnalati attacchi reali. Un team di sicurezza di OpenAI Codex lo ha scoperto e la correzione era presente nel codice sorgente di Brotli da febbraio senza essere stata rilasciata in una versione di sicurezza.
Si tratta di una svista in buona fede o la correzione avrebbe dovuto essere rilasciata a febbraio? Commentate e dite la vostra. Mettete "Mi piace" e iscrivetevi per altri contenuti.
Cosa aggiornare: Node.js 22.23.4, 24.22.1 o 26.12.1 (Node.js 20 e versioni precedenti non riceveranno la correzione). Bun 1.4.4 o versioni successive. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 o 1.37.8. libbrotli 1.2.1, 1.1.1 o 1.0.10. Quindi riavviare i servizi e ricreare le immagini dei container.
Fonti:
• Aggiornamento di sicurezza di Node.js (21 ottobre 2026): nodejs.org
• Record CVE (Google): cve.org
• NVD: nvd.nist.gov
• Rilascio di Google Brotli v1.2.1: github.com/google/brotli/releases/tag/v1.2.1
• Avviso di sicurezza di GitHub (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35
• Avviso di sicurezza di Envoy: Italiano: github.com/envoyproxy/envoy/security/advisories/G…
• Correzione di Bun: bun#46352 e bun.com
• The Hacker News (22 ottobre): thehackernews.com
• The Hacker News (23 ottobre): thehackernews.com
• The Hacker News (24 ottobre): thehackernews.com
• Cybernews: Italiano: cybernews.com
Crediti immagini:
• Screenshot della pagina: nodejs.org, The Hacker News, GitHub (google/brotli)
• Logo Node.js tramite Wikimedia Commons (MIT)
• Logo Python tramite Wikimedia Commons
• Logo "G" di Google tramite Wikimedia Commons
• Logo Bun: bun.com (logo ufficiale)
Node.js è un marchio registrato della OpenJS Foundation. Python è un marchio registrato della Python Software Foundation. Google e Brotli sono marchi registrati di Google LLC. Bun e Envoy sono marchi registrati dei rispettivi proprietari. Utilizzati per commenti alle notizie.
Questo breve video utilizza una voce AI e un editing assistito dall'IA. I fatti sono stati verificati con le fonti sopra indicate.
#NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts
[iw] Node2Shell: באג ה-Brotli של גוגל פוגע ב-Node.js, ב-Bun ובפייתון (עדכנו עכשיו)
באג זיכרון במפענח Brotli של גוגל (CVE-2026-111497) מאפשר לנתונים דחוסים שנוצרו לקרוס אפליקציה, לדלוף זיכרון או אולי להריץ קוד של תוקף. Node.js תיקן אותו ב-21 באוקטובר 2026, ואותו מפענח נמצא גם ב-Bun, בחבילות Python Brotli ו-brotlicffi, וב-Envoy. חוקרי Imperva, המכנים אותו "Node2Shell", הרצו קוד על מבנה רשמי של Node.js בבדיקת מעבדה; לא דווח על התקפות בשטח. צוות אבטחת Codex של OpenAI מצא אותו, והתיקון ישב בקוד המקור של Brotli מאז פברואר ללא מהדורת אבטחה.
טעות כנה, או שהתיקון הזה היה צריך להישלח בפברואר? הגיבו מהצד שלכם. לייק והירשמו לעוד.
מה לעדכן: Node.js 22.23.4, 24.22.1 או 26.12.1 (Node.js 20 ומעלה לא מקבלים תיקון). Bun 1.4.4 או גרסה חדשה יותר. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 או 1.37.8. libbrotli 1.2.1, 1.1.1 או 1.0.10. לאחר מכן, הפעל מחדש את השירותים ובנה מחדש תמונות של המכולה. מקורות:
• גרסת אבטחה של Node.js (21 באוקטובר 2026): nodejs.org
• רשומת CVE (גוגל): cve.org
• NVD: nvd.nist.gov
• גרסת Google Brotli גרסה 1.2.1: github.com/google/brotli/releases/tag/v1.2.1
• ייעוץ GitHub (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35
• ייעוץ Envoy: github.com/envoyproxy/envoy/security/advisories/G…
• תיקון Bun: bun#46352 ו- bun.com
• חדשות ההאקרים (22 באוקטובר): thehackernews.com
• חדשות ההאקרים (23 באוקטובר): thehackernews.com
• חדשות ההאקרים (24 באוקטובר): thehackernews.com
• חדשות סייבר: cybernews.com
קרדיטים לתמונה:
• צילומי מסך של הדף: nodejs.org, The Hacker News, GitHub (google/brotli)
• לוגו Node.js דרך Wikimedia Commons (MIT)
• לוגו Python דרך Wikimedia Commons
• לוגו "G" של גוגל דרך Wikimedia Commons
• לוגו Bun: bun.com (לוגו רשמי)
Node.js הוא סימן מסחרי של OpenJS Foundation. Python הוא סימן מסחרי של Python Software Foundation. Google ו-Brotli הם סימנים מסחריים של Google LLC. Bun ו-Envoy הם סימנים מסחריים של בעליהם. משמשים לפרשנות חדשותית.
סרטון קצר זה משתמש בקול בינה מלאכותית ובעריכה בסיוע בינה מלאכותית. העובדות נבדקו מול המקורות לעיל.
#NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts
[ja] Node2Shell：GoogleのBrotliライブラリの脆弱性がNode.js、Bun、Pythonに影響（今すぐアップデートを）
GoogleのBrotliデコーダーに存在するメモリバグ（CVE-2026-111497）により、細工された圧縮データによってアプリがクラッシュしたり、メモリリークが発生したり、攻撃者のコードが実行されたりする可能性があります。Node.jsは2026年10月21日にこのバグを修正しましたが、同じデコーダーはBun、PythonのBrotliおよびbrotlicffiパッケージ、そしてEnvoyにも含まれています。Impervaの研究者たちは、このバグを「Node2Shell」と呼び、ラボテストで公式のNode.jsビルドに対してコードを実行しました。実際の攻撃は報告されていません。OpenAI Codex Securityチームがこのバグを発見し、修正は2月からBrotliのソースコードにセキュリティリリースなしで含まれていました。
これは見落としでしょうか？それとも2月に修正をリリースすべきだったのでしょうか？ご意見をお聞かせください。いいねとチャンネル登録をお願いします。
アップデート対象：Node.js 22.23.4、24.22.1、または26.12.1（Node.js 20以前のバージョンには修正は適用されません）。 Bun 1.4.4 以降。Python: Brotli 1.2.1、brotlicffi 1.2.1.0。Envoy 1.40.0、1.39.3、1.38.6、または 1.37.8。libbrotli 1.2.1、1.1.1、または 1.0.10。その後、サービスを再起動し、コンテナイメージを再構築してください。
情報源：
• Node.js セキュリティリリース（2026年10月21日）：nodejs.org
• CVE レコード（Google）：cve.org
• NVD：nvd.nist.gov
• Google Brotli v1.2.1 リリース：github.com/google/brotli/releases/tag/v1.2.1
• GitHub アドバイザリ（Python Brotli）：advisories/GHSA-9v8h-qqgm-4m35
• Envoy アドバイザリ： github.com/envoyproxy/envoy/security/advisories/G…
• Bunの修正: bun#46352 および bun.com
• The Hacker News (10月22日): thehackernews.com
• The Hacker News (10月23日): thehackernews.com
• The Hacker News (10月24日): thehackernews.com
• Cybernews: cybernews.com
画像クレジット：
• ページスクリーンショット：nodejs.org、The Hacker News、GitHub（google/brotli）
• Node.jsロゴ：Wikimedia Commons（MIT）
• Pythonロゴ：Wikimedia Commons
• Google「G」ロゴ：Wikimedia Commons
• Bunロゴ：bun.com（公式ロゴ）
Node.jsはOpenJS Foundationの商標です。PythonはPython Software Foundationの商標です。GoogleおよびBrotliはGoogle LLCの商標です。BunおよびEnvoyはそれぞれの所有者の商標です。ニュース解説のために使用しています。
このショート動画はAI音声とAIによる編集を使用しています。事実確認は上記の情報源に基づいて行っています。
#NodeJS #サイバーセキュリティ #Node2Shell #テクノロジーニュース #ショート動画
[ko] Node2Shell: 구글 Brotli 버그, Node.js, Bun 및 Python 강타 (지금 업데이트하세요)
Google의 Brotli 디코더에서 발견된 메모리 버그(CVE-2026-111497)로 인해 조작된 압축 데이터가 앱을 충돌시키거나 메모리 누수를 일으키거나 공격자의 코드를 실행할 수 있습니다. Node.js는 2026년 10월 21일에 이 버그를 수정했으며, 동일한 디코더는 Bun, Python의 Brotli 및 brotlicffi 패키지, 그리고 Envoy에도 포함되어 있습니다. Imperva 연구진은 "Node2Shell"이라는 이름으로 공식 Node.js 빌드에서 테스트 코드를 실행해 보았지만, 실제 공격 사례는 보고되지 않았습니다. 이 버그는 OpenAI Codex 보안 팀에서 발견했으며, 수정 사항은 2월부터 Brotli 소스 코드에 포함되어 있었지만 보안 릴리스에는 포함되지 않았습니다.
이것이 실수였을까요, 아니면 2월에 수정 사항이 배포되었어야 했을까요? 여러분의 의견을 댓글로 남겨주세요. 더 많은 정보를 원하시면 좋아요와 구독을 부탁드립니다.
업데이트 대상: Node.js 22.23.4, 24.22.1 또는 26.12.1 (Node.js 20 이하 버전에는 수정 사항이 적용되지 않습니다.) Bun 1.4.4 이상. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 또는 1.37.8. libbrotli 1.2.1, 1.1.1 또는 1.0.10. 그런 다음 서비스를 재시작하고 컨테이너 이미지를 다시 빌드하십시오.
출처:
• Node.js 보안 릴리스(2026년 10월 21일): nodejs.org
• CVE 기록(Google): cve.org
• NVD: nvd.nist.gov
• Google Brotli v1.2.1 릴리스: github.com/google/brotli/releases/tag/v1.2.1
• GitHub 권고(Python Brotli): advisories/GHSA-9v8h-qqgm-4m35
• Envoy 권고: github.com/envoyproxy/envoy/security/advisories/G…
• Bun 수정 사항: bun#46352 및 bun.com
• The Hacker News (10월 22일): thehackernews.com
• The Hacker News (10월 23일): thehackernews.com
• The Hacker News (10월 24일): thehackernews.com
• Cybernews: cybernews.com
이미지 출처:
• 페이지 스크린샷: nodejs.org, The Hacker News, GitHub (google/brotli)
• Node.js 로고: Wikimedia Commons (MIT)
• Python 로고: Wikimedia Commons
• Google "G" 로고: Wikimedia Commons
• Bun 로고: bun.com (공식 로고)
Node.js는 OpenJS Foundation의 상표입니다. Python은 Python Software Foundation의 상표입니다. Google 및 Brotli는 Google LLC의 상표입니다. Bun 및 Envoy는 해당 소유자의 상표입니다. 뉴스 해설에 사용되었습니다.
본 Short는 AI 음성 및 AI 기반 편집을 사용했습니다. 위의 출처를 통해 사실 확인을 완료했습니다.
#NodeJS #사이버보안 #Node2Shell #기술뉴스 #Shorts
[ml] Node2Shell: Google-ന്റെ Brotli ബഗ് Node.js, Bun, Python എന്നിവയെ ബാധിക്കുന്നു (ഉടൻ അപ്ഡേറ്റ് ചെയ...
ഗൂഗിളിന്റെ ബ്രോട്ട്ലി ഡീകോഡറിലെ (CVE-2026-111497) ഒരു മെമ്മറി ബഗ്, ക്രാഫ്റ്റ് ചെയ്ത കംപ്രസ് ചെയ്ത ഡാറ്റ ഒരു ആപ്പിനെ ക്രാഷ് ചെയ്യാനോ, മെമ്മറി ചോർത്താനോ അല്ലെങ്കിൽ ഒരു ആക്രമണകാരിയുടെ കോഡ് പ്രവർത്തിപ്പിക്കാനോ അനുവദിക്കുന്നു. 2026 ഒക്ടോബർ 21-ന് Node.js ഇത് പരിഹരിച്ചു, അതേ ഡീകോഡർ ബൺ, പൈത്തൺ ബ്രോട്ട്ലി, ബ്രോട്ട്ലിഫി പാക്കേജുകൾ, എൻവോയ് എന്നിവയിലും ഉണ്ട്. ഇതിനെ "Node2Shell" എന്ന് വിളിക്കുന്ന ഇംപെർവ ഗവേഷകർ, ഒരു ലാബ് പരിശോധനയിൽ Node.js ന്റെ ഔദ്യോഗിക ബിൽഡിൽ കോഡ് റൺ ചെയ്തു; വൈൽഡിൽ ഒരു ആക്രമണവും റിപ്പോർട്ട് ചെയ്തിട്ടില്ല. ഒരു OpenAI കോഡെക്സ് സെക്യൂരിറ്റി ടീം ഇത് കണ്ടെത്തി, ഫെബ്രുവരി മുതൽ സുരക്ഷാ റിലീസ് ഇല്ലാതെ ബ്രോട്ട്ലിയുടെ സോഴ്സ് കോഡിൽ ഈ പരിഹാരം ഉണ്ടായിരുന്നു.
ശരിക്കും മിസ്, അല്ലെങ്കിൽ ആ പരിഹാരം ഫെബ്രുവരിയിൽ തിരികെ അയച്ചിരിക്കണമോ? നിങ്ങളുടെ ഭാഗത്ത് അഭിപ്രായം രേഖപ്പെടുത്തുക. കൂടുതലറിയാൻ ലൈക്ക് ചെയ്ത് സബ്സ്ക്രൈബ് ചെയ്യുക.
എന്താണ് അപ്ഡേറ്റ് ചെയ്യേണ്ടത്: Node.js 22.23.4, 24.22.1 അല്ലെങ്കിൽ 26.12.1 (Node.js 20 ഉം അതിനുമുകളിലും പഴയവയ്ക്ക് പരിഹാരമില്ല). ബൺ 1.4.4 അല്ലെങ്കിൽ പുതിയത്. പൈത്തൺ: ബ്രോട്ട്ലി 1.2.1, ബ്രോട്ട്ലിഫി 1.2.1.0. എൻവോയ് 1.40.0, 1.39.3, 1.38.6 അല്ലെങ്കിൽ 1.37.8. ലിബ്ബ്രോട്ട്ലി 1.2.1, 1.1.1 അല്ലെങ്കിൽ 1.0.10. തുടർന്ന് സേവനങ്ങൾ പുനരാരംഭിച്ച് കണ്ടെയ്നർ ഇമേജുകൾ പുനർനിർമ്മിക്കുക.
ഉറവിടങ്ങൾ:
• Node.js സുരക്ഷാ റിലീസ് (21 ഒക്ടോബർ 2026): nodejs.org
• CVE റെക്കോർഡ് (Google): cve.org
• NVD: nvd.nist.gov
• Google Brotli v1.2.1 റിലീസ്: github.com/google/brotli/releases/tag/v1.2.1
• GitHub ഉപദേശം (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35
• എൻവോയ് ഉപദേശം: github.com/envoyproxy/envoy/security/advisories/G…
• ബൺ ഫിക്സ്: bun#46352 ഉം bun.com
ദി ഹാക്കർ ന്യൂസ് (22 ഒക്ടോബർ): thehackernews.com
• ദി ഹാക്കർ ന്യൂസ് (23 ഒക്ടോബർ): thehackernews.com
• ദി ഹാക്കർ ന്യൂസ് (24 ഒക്ടോബർ): thehackernews.com
• സൈബർ ന്യൂസ്: cybernews.com
ചിത്ര ക്രെഡിറ്റുകൾ:
• പേജ് സ്ക്രീൻഷോട്ടുകൾ: nodejs.org, The Hacker News, GitHub (google/brotli)
• വിക്കിമീഡിയ കോമൺസ് (MIT) വഴി Node.js ലോഗോ
• വിക്കിമീഡിയ കോമൺസ് വഴി പൈത്തൺ ലോഗോ
• വിക്കിമീഡിയ കോമൺസ് വഴി Google "G" ലോഗോ
• ബൺ ലോഗോ: bun.com (ഔദ്യോഗിക ലോഗോ)
ഓപ്പൺജെഎസ് ഫൗണ്ടേഷന്റെ ഒരു വ്യാപാരമുദ്രയാണ് നോഡ്.ജെഎസ്. പൈത്തൺ സോഫ്റ്റ്വെയർ ഫൗണ്ടേഷന്റെ ഒരു വ്യാപാരമുദ്രയാണ്. ഗൂഗിളും ബ്രോട്ട്ലിയും ഗൂഗിൾ എൽഎൽസിയുടെ വ്യാപാരമുദ്രകളാണ്. ബണും എൻവോയും അവയുടെ ഉടമസ്ഥരുടെ വ്യാപാരമുദ്രകളാണ്. വാർത്താ വ്യാഖ്യാനത്തിനായി ഉപയോഗിക്കുന്നു.
ഈ ഷോർട്ട് ഒരു AI വോയ്സും AI- സഹായത്തോടെയുള്ള എഡിറ്റിംഗും ഉപയോഗിക്കുന്നു. മുകളിലുള്ള ഉറവിടങ്ങളുമായി വസ്തുതകൾ പരിശോധിച്ചു.
#NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts
[nl-NL] Node2Shell: Google's Brotli-bug treft Node.js, Bun en Python (Update nu)
Een geheugenbug in Google's Brotli-decoder (CVE-2026-111497) zorgt ervoor dat gecomprimeerde data een app kan laten crashen, geheugen kan lekken of mogelijk code van een aanvaller kan uitvoeren. Node.js heeft dit op 21 oktober 2026 verholpen, en dezelfde decoder is ook te vinden in Bun, de Python-pakketten Brotli en brotlicffi, en Envoy. Onderzoekers van Imperva, die het "Node2Shell" noemen, hebben code uitgevoerd op een officiële Node.js-build in een labtest; er zijn geen aanvallen in de praktijk gemeld. Een beveiligingsteam van OpenAI Codex ontdekte de bug, en de fix zat sinds februari in de broncode van Brotli zonder een officiële beveiligingsupdate.
Eerlijk gezegd, of had deze fix al in februari uitgebracht moeten worden? Laat je mening achter in de reacties. Like en abonneer voor meer.
Wat te updaten: Node.js 22.23.4, 24.22.1 of 26.12.1 (Node.js 20 en ouder krijgen geen fix). Bun 1.4.4 of nieuwer. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 of 1.37.8. libbrotli 1.2.1, 1.1.1 of 1.0.10. Start vervolgens de services opnieuw en bouw de containerimages opnieuw.
Bronnen:
• Beveiligingsupdate Node.js (21 oktober 2026): nodejs.org
• CVE-record (Google): cve.org
• NVD: nvd.nist.gov
• Google Brotli v1.2.1 release: github.com/google/brotli/releases/tag/v1.2.1
• GitHub-advies (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35
• Envoy-advies: github.com/envoyproxy/envoy/security/advisories/G…
• Bun-fix: bun#46352 en bun.com
• The Hacker News (22 okt): thehackernews.com
• The Hacker News (23 okt): thehackernews.com
• The Hacker News (24 okt): thehackernews.com
• Cybernews: cybernews.com
Afbeeldingscredits:
• Screenshots van pagina's: nodejs.org, The Hacker News, GitHub (google/brotli)
• Node.js-logo via Wikimedia Commons (MIT)
• Python-logo via Wikimedia Commons
• Google "G"-logo via Wikimedia Commons
• Bun-logo: bun.com (officieel logo)
Node.js is een handelsmerk van de OpenJS Foundation. Python is een handelsmerk van de Python Software Foundation. Google en Brotli zijn handelsmerken van Google LLC. Bun en Envoy zijn handelsmerken van hun respectievelijke eigenaren. Gebruikt voor nieuwscommentaar.
Deze Short maakt gebruik van een AI-stem en AI-ondersteunde bewerking. Feiten gecontroleerd aan de hand van de bovenstaande bronnen.
#NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts
[pa] Node2Shell: Google ਦਾ Brotli ਬੱਗ Node.js, Bun ਅਤੇ Python ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰ ਰਿਹਾ ਹੈ (ਹੁਣੇ ਅਪਡੇਟ ਕਰੋ)
ਗੂਗਲ ਦੇ ਬ੍ਰੋਟਲੀ ਡੀਕੋਡਰ (CVE-2026-111497) ਵਿੱਚ ਇੱਕ ਮੈਮੋਰੀ ਬੱਗ ਤਿਆਰ ਕੀਤੇ ਸੰਕੁਚਿਤ ਡੇਟਾ ਨੂੰ ਇੱਕ ਐਪ ਨੂੰ ਕਰੈਸ਼ ਕਰਨ, ਮੈਮੋਰੀ ਲੀਕ ਕਰਨ ਜਾਂ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਹਮਲਾਵਰ ਦੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਦਿੰਦਾ ਹੈ। Node.js ਨੇ ਇਸਨੂੰ 21 ਅਕਤੂਬਰ 2026 ਨੂੰ ਠੀਕ ਕੀਤਾ, ਅਤੇ ਉਹੀ ਡੀਕੋਡਰ ਬਨ, ਪਾਈਥਨ ਬ੍ਰੋਟਲੀ ਅਤੇ ਬ੍ਰੋਟਲੀਕਫੀ ਪੈਕੇਜਾਂ, ਅਤੇ ਐਂਵੋਏ ਵਿੱਚ ਵੀ ਬੈਠਦਾ ਹੈ। Imperva ਖੋਜਕਰਤਾ, ਜੋ ਇਸਨੂੰ "Node2Shell" ਕਹਿੰਦੇ ਹਨ, ਨੇ ਇੱਕ ਲੈਬ ਟੈਸਟ ਵਿੱਚ ਇੱਕ ਅਧਿਕਾਰਤ Node.js ਬਿਲਡ 'ਤੇ ਕੋਡ ਚਲਾਇਆ; ਜੰਗਲੀ ਵਿੱਚ ਕੋਈ ਵੀ ਹਮਲਾ ਰਿਪੋਰਟ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ। ਇੱਕ OpenAI ਕੋਡੈਕਸ ਸੁਰੱਖਿਆ ਟੀਮ ਨੇ ਇਸਨੂੰ ਲੱਭ ਲਿਆ, ਅਤੇ ਫਿਕਸ ਫਰਵਰੀ ਤੋਂ ਸੁਰੱਖਿਆ ਰੀਲੀਜ਼ ਤੋਂ ਬਿਨਾਂ ਬ੍ਰੋਟਲੀ ਦੇ ਸਰੋਤ ਕੋਡ ਵਿੱਚ ਬੈਠ ਗਿਆ।
ਇਮਾਨਦਾਰ ਮਿਸ, ਜਾਂ ਕੀ ਉਹ ਫਿਕਸ ਫਰਵਰੀ ਵਿੱਚ ਵਾਪਸ ਭੇਜ ਦਿੱਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਸੀ? ਆਪਣੀ ਗੱਲ 'ਤੇ ਟਿੱਪਣੀ ਕਰੋ। ਹੋਰ ਲਈ ਪਸੰਦ ਕਰੋ ਅਤੇ ਗਾਹਕ ਬਣੋ।
ਕੀ ਅੱਪਡੇਟ ਕਰਨਾ ਹੈ: Node.js 22.23.4, 24.22.1 ਜਾਂ 26.12.1 (Node.js 20 ਅਤੇ ਪੁਰਾਣੇ ਨੂੰ ਕੋਈ ਹੱਲ ਨਹੀਂ ਮਿਲਦਾ)। Bun 1.4.4 ਜਾਂ ਨਵਾਂ। Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 ਜਾਂ 1.37.8. libbrotli 1.2.1, 1.1.1 ਜਾਂ 1.0.10। ਫਿਰ ਸੇਵਾਵਾਂ ਨੂੰ ਮੁੜ ਚਾਲੂ ਕਰੋ ਅਤੇ ਕੰਟੇਨਰ ਚਿੱਤਰਾਂ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਓ।
ਸਰੋਤ:
• Node.js ਸੁਰੱਖਿਆ ਰਿਲੀਜ਼ (21 ਅਕਤੂਬਰ 2026): nodejs.org
• CVE ਰਿਕਾਰਡ (Google): cve.org
• NVD: nvd.nist.gov
• Google Brotli v1.2.1 ਰਿਲੀਜ਼: github.com/google/brotli/releases/tag/v1.2.1
• GitHub ਸਲਾਹਕਾਰ (ਪਾਈਥਨ ਬ੍ਰੋਟਲੀ): advisories/GHSA-9v8h-qqgm-4m35
• ਦੂਤ ਸਲਾਹਕਾਰ: github.com/envoyproxy/envoy/security/advisories/G…
• ਬਨ ਫਿਕਸ: bun#46352 ਅਤੇ bun.com
• ਦ ਹੈਕਰ ਨਿਊਜ਼ (22 ਅਕਤੂਬਰ): thehackernews.com
• ਦ ਹੈਕਰ ਨਿਊਜ਼ (23 ਅਕਤੂਬਰ): thehackernews.com
• ਦ ਹੈਕਰ ਨਿਊਜ਼ (24 ਅਕਤੂਬਰ): thehackernews.com
• ਸਾਈਬਰ ਨਿਊਜ਼: cybernews.com
ਚਿੱਤਰ ਕ੍ਰੈਡਿਟ:
• ਪੰਨੇ ਦੇ ਸਕ੍ਰੀਨਸ਼ਾਟ: nodejs.org, The Hacker News, GitHub (google/brotli)
• Node.js ਲੋਗੋ ਵਿਕੀਮੀਡੀਆ ਕਾਮਨਜ਼ (MIT) ਰਾਹੀਂ
• ਪਾਈਥਨ ਲੋਗੋ ਵਿਕੀਮੀਡੀਆ ਕਾਮਨਜ਼ ਰਾਹੀਂ
• ਗੂਗਲ "G" ਲੋਗੋ ਵਿਕੀਮੀਡੀਆ ਕਾਮਨਜ਼ ਰਾਹੀਂ
• ਬਨ ਲੋਗੋ: bun.com (ਅਧਿਕਾਰਤ ਲੋਗੋ)
Node.js ਓਪਨਜੇਐਸ ਫਾਊਂਡੇਸ਼ਨ ਦਾ ਟ੍ਰੇਡਮਾਰਕ ਹੈ। ਪਾਈਥਨ ਪਾਈਥਨ ਸੌਫਟਵੇਅਰ ਫਾਊਂਡੇਸ਼ਨ ਦਾ ਟ੍ਰੇਡਮਾਰਕ ਹੈ। ਗੂਗਲ ਅਤੇ ਬ੍ਰੋਟਲੀ ਗੂਗਲ ਐਲਐਲਸੀ ਦੇ ਟ੍ਰੇਡਮਾਰਕ ਹਨ। ਬਨ ਅਤੇ ਐਂਵੋਏ ਉਨ੍ਹਾਂ ਦੇ ਮਾਲਕਾਂ ਦੇ ਟ੍ਰੇਡਮਾਰਕ ਹਨ। ਖ਼ਬਰਾਂ ਦੀ ਟਿੱਪਣੀ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ।
ਇਹ ਛੋਟਾ ਇੱਕ AI ਵੌਇਸ ਅਤੇ AI-ਸਹਾਇਤਾ ਪ੍ਰਾਪਤ ਸੰਪਾਦਨ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਉਪਰੋਕਤ ਸਰੋਤਾਂ ਦੇ ਵਿਰੁੱਧ ਜਾਂਚੇ ਗਏ ਤੱਥ।
#NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts
[pl] Node2Shell: Błąd w dekoderze Brotli od Google dotyka Node.js, Bun i Python (Zaktualizuj teraz)
Błąd pamięci w dekoderze Brotli firmy Google (CVE-2026-111497) umożliwia zmodyfikowanym skompresowanym danym awarię aplikacji, wyciek pamięci lub uruchomienie kodu atakującego. Node.js naprawił ten błąd 21 października 2026 roku, a ten sam dekoder znajduje się również w Bun, pakietach Brotli i brotlicffi dla Pythona oraz Envoy. Badacze z Imperva, nazywający to „Node2Shell”, uruchomili kod w oficjalnej kompilacji Node.js w ramach testów laboratoryjnych; nie zgłoszono żadnych ataków w środowisku rzeczywistym. Zespół ds. bezpieczeństwa OpenAI Codex znalazł błąd, a poprawka znajdowała się w kodzie źródłowym Brotli od lutego bez wydania wersji bezpieczeństwa.
Szczerze przeoczyłeś, czy ta poprawka powinna zostać udostępniona już w lutym? Skomentuj swoją opinię. Polub i zasubskrybuj, aby otrzymywać więcej informacji.
Co zaktualizować: Node.js 22.23.4, 24.22.1 lub 26.12.1 (Node.js 20 i starsze nie otrzymują poprawki). Bun 1.4.4 lub nowszy. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 lub 1.37.8. libbrotli 1.2.1, 1.1.1 lub 1.0.10. Następnie uruchom ponownie usługi i przebuduj obrazy kontenerów.
Źródła:
• Wydanie zabezpieczeń Node.js (21 października 2026 r.): nodejs.org
• Rekord CVE (Google): cve.org
• NVD: nvd.nist.gov
• Wydanie Google Brotli v1.2.1: github.com/google/brotli/releases/tag/v1.2.1
• Poradnik GitHub (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35
• Poradnik Envoy: github.com/envoyproxy/envoy/security/advisories/G…
• Poprawka Bun: bun#46352 i bun.com
• The Hacker News (22 października): thehackernews.com
• The Hacker News (23 października): thehackernews.com
• The Hacker News (24 października): thehackernews.com
• Cybernews: cybernews.com
Źródła obrazów:
• Zrzuty ekranu strony: nodejs.org, The Hacker News, GitHub (google/brotli)
• Logo Node.js za pośrednictwem Wikimedia Commons (MIT)
• Logo Pythona za pośrednictwem Wikimedia Commons
• Logo Google „G” za pośrednictwem Wikimedia Commons
• Logo Bun: bun.com (oficjalne logo)
Node.js jest znakiem towarowym OpenJS Foundation. Python jest znakiem towarowym Python Software Foundation. Google i Brotli są znakami towarowymi Google LLC. Bun i Envoy są znakami towarowymi ich właścicieli. Wykorzystano w komentarzach prasowych.
W tym krótkim filmie zastosowano głos sztucznej inteligencji (AI) i edycję wspomaganą przez AI. Informacje zweryfikowano na podstawie powyższych źródeł.
#NodeJS #CyberBezpieczeństwo #Node2Shell #TechNews #Shorts
[pt-BR] Node2Shell: Falha no Brotli do Google afeta Node.js, Bun e Python (Atualize Agora)
Uma falha de memória no decodificador Brotli do Google (CVE-2026-111497) permite que dados comprimidos maliciosos causem a falha de um aplicativo, vazamento de memória ou possivelmente a execução de código malicioso. O Node.js corrigiu a vulnerabilidade em 21 de outubro de 2026, e o mesmo decodificador também está presente no Bun, nos pacotes Python Brotli e brotlicffi, e no Envoy. Pesquisadores da Imperva, que o chamam de "Node2Shell", executaram código em uma versão oficial do Node.js em um teste de laboratório; nenhum ataque em ambiente real foi relatado. Uma equipe de segurança do OpenAI Codex descobriu a falha, e a correção permaneceu no código-fonte do Brotli desde fevereiro, sem uma atualização de segurança.
Uma falha honesta, ou essa correção deveria ter sido lançada em fevereiro? Comente sua opinião. Curta e inscreva-se para mais conteúdo.
O que atualizar: Node.js 22.23.4, 24.22.1 ou 26.12.1 (Node.js 20 e versões anteriores não recebem correção). Bun 1.4.4 ou mais recente. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 ou 1.37.8. libbrotli 1.2.1, 1.1.1 ou 1.0.10. Em seguida, reinicie os serviços e reconstrua as imagens do contêiner.
Fontes:
• Lançamento de segurança do Node.js (21 de outubro de 2026): nodejs.org
• Registro CVE (Google): cve.org
• NVD: nvd.nist.gov
• Lançamento do Google Brotli v1.2.1: github.com/google/brotli/releases/tag/v1.2.1
• Aviso do GitHub (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35
• Aviso do Envoy: github.com/envoyproxy/envoy/security/advisories/G…
• Correção do Bun: bun#46352 e bun.com
• The Hacker News (22 de outubro): thehackernews.com
• The Hacker News (23 de outubro): thehackernews.com
• The Hacker News (24 de outubro): thehackernews.com
• Cybernews: cybernews.com
Créditos das imagens:
• Capturas de tela da página: nodejs.org, The Hacker News, GitHub (google/brotli)
• Logotipo do Node.js via Wikimedia Commons (MIT)
• Logotipo do Python via Wikimedia Commons
• Logotipo "G" do Google via Wikimedia Commons
• Logotipo da Bun: bun.com (logotipo oficial)
Node.js é uma marca registrada da OpenJS Foundation. Python é uma marca registrada da Python Software Foundation. Google e Brotli são marcas registradas da Google LLC. Bun e Envoy são marcas registradas de seus respectivos proprietários. Usado para comentários de notícias.
Este vídeo curto utiliza voz de IA e edição assistida por IA. Os fatos foram verificados com base nas fontes acima.
#NodeJS #Cibersegurança #Node2Shell #NotíciasdeTecnologia #VídeosCurtos
[ru] Node2Shell: уязвимость в Brotli от Google затрагивает Node.js, Bun и Python (обновитесь прямо сей...
Уязвимость в памяти декодера Brotli от Google (CVE-2026-111497) позволяет специально сжатым данным вызывать сбои в работе приложения, утечки памяти или, возможно, запускать код злоумышленника. Node.js исправил её 21 октября 2026 года, и тот же декодер также присутствует в Bun, пакетах Python Brotli и brotlicffi, а также в Envoy. Исследователи Imperva, называющие это "Node2Shell", протестировали код на официальной сборке Node.js в лабораторных условиях; сообщений об атаках в реальных условиях не поступало. Команда OpenAI Codex Security обнаружила уязвимость, и исправление оставалось в исходном коде Brotli с февраля без выпуска обновления безопасности.
Честно говоря, это ошибка, или исправление следовало выпустить ещё в феврале? Напишите своё мнение в комментариях. Ставьте лайки и подписывайтесь, чтобы получать больше информации.
Что нужно обновить: Node.js 22.23.4, 24.22.1 или 26.12.1 (для Node.js 20 и более старых версий исправления не предусмотрены). Bun 1.4.4 или новее. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 или 1.37.8. libbrotli 1.2.1, 1.1.1 или 1.0.10. Затем перезапустите службы и пересоберите образы контейнеров.
Источники:
• Выпуск Node.js по безопасности (21 октября 2026 г.): nodejs.org
• Запись CVE (Google): cve.org
• NVD: nvd.nist.gov
55 views
HTTP2Shell、自分のNode.jsは直った？ 入れ方で違う確かめ方
PHP の脆弱性（PHP2Shell）とほぼ同じ時期に、今度は HTTP2Shell（CVE-2026-111497）が出ました。毎日のように重大な脆弱性が出てくるな…と思いながら手元の Node.js を更新して、直ったか確かめようとしたら、見る場所によって「直った」とも「直っていない」とも読めて少し混乱しました。
この記事では、Node.js の入れ方ごとに直ったかをどこで確かめればいいかと、更新したあとも古いまま残りやすいものをまとめます。想定読者は、手元やサーバーで Node.js を使っていて、HTTP2Shell を見て「自分のは大丈夫か」を確かめたいエンジニアです。
調べる作業は Claude Code に任せました。公式のお知らせとアドバイザリを読ませてから手元の環境を調べさせて、出てきた結果を見て何を上げて何を止めるかを決めています。内容は 2026年10月26日時点のものです。
HTTP2Shell とは
名前から HTTP の欠陥かと思いましたが、中身は Google の圧縮ライブラリ Brotli の、展開（デコード）の処理の欠陥でした。対象は Brotli の 1.0.3〜1.2.0（修正版の 1.0.10・1.1.1 を除く）で、細工した圧縮データを展開させると、メモリが壊れて最悪の場合は外からコードを実行される可能性があります。
呼び名は PHP2Shell と同じ付け方で「HTTP から shell へ」、つまり HTTP の通信で届く圧縮データを入口に外からコマンドを実行されうる、と読めます。もとは Imperva が Node2Shell と名付けたもので、HTTP で圧縮データを自動で展開するライブラリやアプリにも広がることから Aikido が HTTP2Shell と呼んでいます。
深刻度は、CVE を登録した Google が CVSS 4.0 で 9.2（Critical）、Node.js 自身の評価は High です。Imperva が修正前の公式版 24.22.0（Linux arm64 の公式イメージ）で、Express 5 と fetch を使って外からコードを実行できることを、何度か試して再現したと報告しています（記事に攻撃のコードは載っていません）。実際に悪用されたという報告は見当たらず、CISA の KEV（悪用が確認された脆弱性の一覧）にも載っていません。シンガポールのサイバーセキュリティ庁（CSA）は Critical として、すぐに更新するよう呼びかけています。とくに Express 5 などで外に公開しているサーバーは、すぐに上げる対象です。日本の JPCERT/CC と IPA の注意喚起の一覧には、この時点では見当たりませんでした。
Node.js の HTTP サーバーそのものは、Brotli で圧縮されたリクエストを受け取っただけでは展開しません。展開するミドルウェアや fetch を通るときが対象になります。自分で展開の処理を書いていなくても、たとえば次のような経路で届きます。
Express 5 で express.json() などを使っていると、Brotli で圧縮したリクエストを送られただけで展開します。外に公開しているなら、誰でも送れます
Node.js の fetch は、相手のサーバーが Brotli で圧縮した応答（Content-Encoding: br）を返すと自動で展開します。webhook やリンクのプレビュー、クローラーのように、相手を選ばずに取りに行く処理が狙われやすいです
Node.js 以外では、Python の requests も brotli か brotlicffi が入っていると Brotli の応答を展開します。
主な修正版は次のとおりです。
対象
修正版
Node.js
22.23.4 / 24.22.1 / 26.12.1。20 以前と 23・25 系はサポートが終わっていて修正版が出ないので、このどれかの系列に上げる
Bun
1.4.4（bun build --compile で作った実行ファイルも作り直す）
Python
brotli 1.2.1、brotlicffi 1.2.1.0
Brotli 本体
1.0.10 / 1.1.1 / 1.2.1
Bun と Python は、この表の版以上になっているかで確かめられます。ややこしいのは Node.js です。ここからは Node.js の話をします。
直ったかの確かめ方は、入れ方で変わる
最初に混乱したのがここです。公式の Node.js を修正版の 24.22.1 にしたあと、中に入っている Brotli の版を process.versions.brotli で見ると、直す前と同じ 1.2.0 のままでした。Node.js のお知らせは Node.js 本体の版で修正版を示しています。本体の版は上がったのに中の Brotli の版は同じで、それで本当に直ってるの？と思いました。
整理すると、見ている数字が2つあります。Claude Code に公式版の 24.22.0 と 24.22.1 を落として並べさせた結果がこれです。
数字
見方
公式の 24.22.0（修正前）
公式の 24.22.1（修正後）
Node.js 本体のバージョン
node -v
v24.22.0
v24.22.1
中に入っている Brotli のバージョン
node -p process.versions.brotli
1.2.0
1.2.0
公式の Node.js は、Brotli を 1.2.1 に上げたのではなく、修正のコミットだけを取り込んでいます（v24.22.1 の CHANGELOG に deps: brotli: cherry-pick 0ed4268… とあります）。中身は直っていても、Brotli の版の番号は変わりません。
もう1つ話を分かりにくくしているのが、Node.js の入れ方によって Brotli を中に持っているかどうかが違うことです。
入れ方
Brotli
直ったかを見る場所
nodejs.org の配布物、それを落として使う nvm・fnm・Volta など、公式の Docker イメージ（alpine 版も含む）、NodeSource（apt で入れられる Node.js のビルドの配布元）
Node.js の中に入っている
Node.js 本体のバージョン（node -v）
Homebrew
brew で入れた brotli を読み込む
brew の brotli のバージョン（node -p process.versions.brotli）
Debian / Ubuntu（20.04 を除く）標準の apt
OS の brotli のライブラリを読み込む
libbrotli1 のパッケージ
Alpine の apk で入れた nodejs
OS の brotli のライブラリを読み込む
brotli-libs のパッケージ
どれで入れたか分からなければ、先に見分けます。行が出れば外の brotli を読み込んでいます。
macOS
otool -L "$(node -p process.execPath)" | grep brotli
Linux
ldd "$(node -p process.execPath)" | grep brotli
macOS の otool の行には current version 1.2.0 のように版が出ますが、これは node をビルドした時点の値で、今読み込んでいるものの版ではありません。版はこのあとの見方で確かめます。表に無い仕組み（Nix や MacPorts など）で入れていて行が出たら、行に出たパスのライブラリを入れた仕組みで brotli の版を確かめます。
行が出なければ、Node.js の中に Brotli が入っています。Node.js 本体のバージョンで確かめます。
node -v
22系は 22.23.4、24系は 24.22.1、26系は 26.12.1、それぞれ以上なら修正版
nvm や Volta などでプロジェクトごとに版を切り替えているなら、ホームディレクトリで見た版とプロジェクトで使っている版が違うことがあります。nvm ls・fnm list・volta list node などで、入っている版を全部見ておきます。
Homebrew の node は、brew の brotli を読み込む作りでした。この場合は process.versions.brotli が読み込んでいる brotli の版を出します。1.2.1 になっていれば直っています。逆に node 本体を新しくしても、brew の brotli が 1.2.0 のままなら直っていません。
Debian は、上流の版の番号を変えずに修正を当てます。版の番号を目で見比べると読み違えやすいので、修正が入った版以上かを判定させます。
bookworm（trixie なら 1.1.0-2+deb13u1 と比べる）
dpkg --compare-versions "$(dpkg-query -W -f='${Version}' libbrotli1)" ge 1.0.9-2+deb12u1 && echo fixed || echo "not fixed (or not installed)"
Debian のセキュリティトラッカーを開くと nodejs の欄は vulnerable と出ます（重要度は unimportant）。nodejs は OS の brotli を使っていて、brotli 側が直っていれば大丈夫です。apt の nodejs は bookworm が 18 系、trixie が 20 系とサポートの終わった版ですが、この脆弱性に限っては libbrotli1 が直れば直ります。
Ubuntu は jammy（22.04）以降の nodejs を「対象外」としています。これは OS の brotli を使うためで、その brotli は 10月26日時点でまだ評価中で修正版が出ていません。修正版が出るまでは直っていない扱いです。focal（20.04）の nodejs は Brotli を中に持っていて、対象のままです。Ubuntu で急ぐなら、NodeSource か公式の配布物の修正版に切り替えるのが早いと思います。
Alpine の apk で入れた nodejs は apk list -I brotli-libs で brotli の版を見ます。Alpine 3.23 なら 1.2.1-r0 以上が修正版で、ほかの版の Alpine は Alpine のセキュリティ情報で確かめます。
確かめていて見つけた落とし穴：brotli を上げたら node が 26 系に
手元の Mac では、brew の node（24.10.0）が brew の brotli（1.2.0）を読み込んでいました。brew upgrade brotli で brotli を上げたら、brotli を使うものも一緒に上がって、node まで 24 系から 26 系に上がっていました。
brotli を上げれば、それ以降に起動する node は直ります。ただ、メジャーバージョンが変わるとほかのところで困ることがあるので、同じ 24 系の修正版に揃えるために node@24 に切り替えました。
brew install node@24
brew unlink node
brew link --overwrite --force --dry-run node@24 # 先に上書きされるファイルを見る
brew link --overwrite --force node@24
node -v # v24.22.1
node -p process.versions.brotli # 1.2.1
--overwrite は、シンボリックリンクではない実ファイルも消して置き換えるので、dry-run の一覧は確かめてから実行します。戻すときは brew unlink node@24 && brew link node です。グローバルに入れたパッケージは 24 系と 26 系で共有されるので、26 系だった間に入れたネイティブモジュールは、24 系では動かないことがあります。
brew upgrade で brotli を使うものまでまとめて上がるのは、brew では普通の動きです。気づけたのは、上げたあとに node -v を見たからでした。
更新したあとも古いまま残るもの
Node.js や brotli を更新しても、すでに動いているものは古いまま動き続けます。
動いているプロセスは、起動したときの Node.js と brotli のまま動いています。brew や apt で brotli だけを上げた場合も同じで、起動し直すまで直りません。手元では、2週間以上動きっぱなしの開発用サーバー（next dev）や、Claude Code などの AI ツールが裏で npx から起動する補助のサーバー（MCP サーバー）が古いまま残っていました。MCP サーバーは、起動したツールを立ち上げ直すと新しい Node.js で起動し直します。
こうしたプロセスは表示名を npm exec … や next-server に書き換えるので、ps の結果を node で grep しても半分ほど漏れました。macOS では、実行ファイルと読み込んでいるライブラリから探すと漏れません。
実行ファイルが node のプロセスと、起動した日時
lsof -nP -d txt 2>/dev/null | LC_ALL=C awk '$NF ~ /\/node$/ {print $2}' | sort -u | xargs ps -o pid,lstart,comm -p
brew の brotli を読み込んでいるプロセス（パスに版が出る。手元では全部 node でした）
lsof -nP -d txt 2>/dev/null | LC_ALL=C awk '/libbrotlidec/ {print $2, $NF}' | sort -u
更新した日時より前に起動したものが、古いままのプロセスです。手元では、2つ目のコマンドで brotli/1.2.0 のパスを読み込んだままの node がたくさん見つかりました。Linux では、次の2つで探せます。ほかのユーザーで動くサービスも見るので sudo を付けます。
apt や apk の brotli を更新したあと、古いライブラリを読み込んだままのプロセス（/proc/<PID>/maps の PID）
sudo grep -l 'libbrotlidec.(deleted)' /proc/[0-9]/maps 2>/dev/null
動いている node の実行ファイル（nvm などはパスに版が出る）
sudo ls -l /proc/[0-9]*/exe 2>/dev/null | grep '/node$'
起動した日時は ps -o pid,lstart,comm -p <PID> で見られます。なお、ps でコマンドの引数まで出すと、MCP サーバーに渡している API キーなどが表示されることがあるので、出力を人に見せたり AI に貼ったりしないようにします。
コンテナのイメージには、ビルドした時点の Node.js が入ったままです。node:24.22.0 のように版を固定したタグは、作り直しても古いままです。固定していないタグでも、ベースイメージを取り直して作り直さないと、キャッシュの古いものが使われることがあります。
今動いているコンテナの Node.js の版
docker exec <コンテナ名> node -v
ベースイメージを取り直して作り直す
docker build --pull -t <イメージ名> .
作り直したら、コンテナも作り直して起動し直します。イメージの中で apt や apk から Node.js を入れているなら、node -v ではなく上の表のとおりイメージの中の brotli のパッケージを見ます。この場合は apt や apk の層もキャッシュから使われることがあるので、--no-cache も付けて作り直します。
Node.js の単一実行ファイル（SEA）のように、ビルドに使った node を丸ごとコピーして1つのファイルにまとめたものも、作り直すまでは古いままです。
公開したままのサービスも残ります。手元では、前に自分で作った個人開発のミニ Web アプリが古いまま公開されていました。メンテもできていなかったので、この機会にクローズしました。止めるときに見落としやすいのが、自動でデプロイし直す仕組みです。Cloud Build のトリガーや GitHub Actions が残っていると、リポジトリに push したときに止めたはずのサービスがまた公開されます。サービスと一緒に止めておきます。
今回 Claude Code に確かめさせた流れ
まず公式のお知らせやアドバイザリを読ませて、脆弱性の中身を理解させる
自分の環境で、Node.js などをどの方法で入れているかを洗い出させる。プロジェクトごとに版を切り替えているなら、入っている版を全部
入れ方ごとに、上の表の正しい場所で直ったかを確かめさせる
動いているプロセス、コンテナ、公開しているサービスまで見させる
何を上げて何を止めるかは自分で決めて、上げたあとは版を確かめ直し、動いているものを起動し直す
1 から 4 は読むだけのコマンドで済むので任せて、変えるコマンドは提案させてから自分で決めます。上げると決めたあとも、brew のように brotli を使うものまでまとめて変わることがあって、上げたあとに node -v と process.versions.brotli、動いているプロセスまで確かめ直しています。
まとめ
HTTP2Shell の中身は、Brotli の展開の処理の欠陥
公式版の Node.js は、修正後も process.versions.brotli が 1.2.0 のまま。直ったかは Node.js 本体のバージョンで見る
brew や apt の Node.js は外の brotli を読み込むので、brotli 側を見る
動いているプロセス、コンテナ、公開したままのサービスは、更新しても古いまま残る
AI で作って公開したサービスの棚卸し
最後に、エンジニアではない人に向けた話です。最近はバイブコーディングで、エンジニアではない人もサービスを作って公開することが増えています。AI に作ってもらったサービスだと、中で何が動いているかを細かく覚えていないこともあると思います。
使っている Node.js のバージョンや、どこに公開したかが分からないままだと、今回のような脆弱性が出ても自分が対象かどうかを確かめられません。作るのに使った AI に、使っている Node.js の版と公開先を聞いてみるのが手軽です。Vercel のようなホスティングを使っているなら、事業者の告知も確かめます。今は使っていないのに公開したままのものがあれば、一度洗い出しておくと、次にこういうことがあったときに慌てずに済みます。
参考:
Node.js のセキュリティリリース（2026年10月）: nodejs.org
Node.js v24 の CHANGELOG: github.com/nodejs/node/blob/v24.22.1/doc/changelo…
CVE の記録: cve.org
PyPI の brotli / brotlicffi のアドバイザリ: advisories/GHSA-9v8h-qqgm-4m35
Bun のアドバイザリ: github.com/oven-sh/bun/security/advisories/GHSA-6…
Debian のセキュリティトラッカー: security-tracker.debian.org
Ubuntu の CVE のページ: ubuntu.com
Imperva の報告: imperva.com
Aikido の記事: aikido.dev
シンガポール CSA の注意喚起: csa.gov.sg
7 free open-source tools
Paid tools pe paise kharch karne se pehle ye 7 free open-source tools zaroor dekhiye 👇
1. Tauri – Web code se halke cross-platform desktop apps (Windows, Mac, Linux)
🔗 tauri-apps/tauri
2. Encore – Backend likhiye, cloud infrastructure automatic setup
🔗 encoredev/encore
3. Bun – Fast JavaScript runtime, bundler aur transpiler ek saath
🔗 oven-sh/bun
4. Postiz – Social media posts schedule karo, AI content + analytics ke saath
🔗 gitroomhq/postiz-app
5. Composio – AI agents ko GitHub, Slack, Gmail jaise apps se connect karo
🔗 ComposioHQ/composio
6. Gitpod (ab Ona) – Browser mein ready-to-code dev environment
🔗 ona.com
🔗 gitpod-io/gitpod
7. Continue – VS Code aur JetBrains ke liye open-source AI coding assistant
🔗 continuedev/continue
📖 Full article: medium.com
Aap inme se kaunsa tool use karte ho? Comment mein batao! 💬
#OpenSource #DeveloperTools #Programming #Coding #Shorts
[ar] 7 أدوات مفتوحة المصدر مجانية
قبل إنفاق المال على الأدوات المدفوعة، إليك 7 أدوات مجانية مفتوحة المصدر 👇
1. Tauri – تطبيقات سطح مكتب خفيفة الوزن ومتعددة المنصات (Windows، Mac، Linux) من كود الويب
🔗 tauri-apps/tauri
2. Encore – كتابة الواجهة الخلفية، وأتمتة إعداد البنية التحتية السحابية
🔗 encoredev/encore
3. Bun – بيئة تشغيل جافا سكريبت سريعة، ومجمع، ومترجم في آن واحد
🔗 oven-sh/bun
4. Postiz – جدولة منشورات وسائل التواصل الاجتماعي، مع محتوى وتحليلات مدعومة بالذكاء الاصطناعي
🔗 gitroomhq/postiz-app
5. Composio – ربط وكلاء الذكاء الاصطناعي بتطبيقات مثل GitHub وSlack وGmail
🔗 ComposioHQ/composio
6. Gitpod (الآن Ona) – بيئة جاهزة للبرمجة بيئة تطوير في المتصفح
🔗 ona.com
🔗 gitpod-io/gitpod
7. Continue – مساعد برمجة مفتوح المصدر يعمل بالذكاء الاصطناعي لـ VS Code وJetBrains
🔗 continuedev/continue
📖 المقال الكامل: medium.com
أي من هذه الأدوات تستخدم؟ شاركنا رأيك في التعليقات! 💬
#مفتوح_المصدر #أدوات_المطورين #البرمجة #البرمجة_البرمجية #مقاطع_قصيرة
[bn] ৭টি ফ্রি ওপেন-সোর্স টুল
পেইড টুলগুলিতে টাকা খরচ করার আগে, এই ৭টি ফ্রি ওপেন-সোর্স টুল দেখে নিন 👇
১. Tauri – ওয়েব কোড থেকে তৈরি লাইটওয়েট ক্রস-প্ল্যাটফর্ম ডেস্কটপ অ্যাপ (উইন্ডোজ, ম্যাক, লিনাক্স)
🔗 tauri-apps/tauri
২. Encore – ব্যাকএন্ড লিখুন, ক্লাউড ইনফ্রাস্ট্রাকচার সেটআপ স্বয়ংক্রিয় করুন
🔗 encoredev/encore
৩. Bun – দ্রুত জাভাস্ক্রিপ্ট রানটাইম, বান্ডলার এবং ট্রান্সপাইলার একসাথে
🔗 oven-sh/bun
৪. Postiz – AI কন্টেন্ট এবং অ্যানালিটিক্স সহ সোশ্যাল মিডিয়া পোস্ট শিডিউল করুন
🔗 gitroomhq/postiz-app
৫. Composio – GitHub, Slack, এবং Gmail-এর মতো অ্যাপে AI এজেন্ট সংযুক্ত করুন
🔗 ComposioHQ/composio
৬. Gitpod (এখন Ona) – কোড করার জন্য প্রস্তুত একটি ডেভ এনভায়রনমেন্ট ব্রাউজার
🔗 ona.com
🔗 gitpod-io/gitpod
৭. কন্টিনিউ – ভিএস কোড এবং জেটব্রেইনস-এর জন্য একটি ওপেন-সোর্স এআই কোডিং অ্যাসিস্ট্যান্ট
🔗 continuedev/continue
📖 সম্পূর্ণ আর্টিকেল: medium.com
এই টুলগুলোর মধ্যে কোনটি আপনি ব্যবহার করেন? কমেন্টে আমাদের জানান! 💬
#OpenSource #DeveloperTools #Programming #Coding #Shorts
[de-DE] 7 kostenlose Open-Source-Tools
Bevor du Geld für kostenpflichtige Tools ausgibst, sieh dir diese 7 kostenlosen Open-Source-Tools an 👇
1. Tauri – Leichtgewichtige, plattformübergreifende Desktop-Apps (Windows, Mac, Linux) aus Webcode
🔗 tauri-apps/tauri
2. Encore – Backend schreiben, Cloud-Infrastruktur-Setup automatisieren
🔗 encoredev/encore
3. Bun – Schnelle JavaScript-Laufzeitumgebung, Bundler und Transpiler in einem
🔗 oven-sh/bun
4. Postiz – Social-Media-Posts planen, mit KI-Inhalten und -Analysen
🔗 gitroomhq/postiz-app
5. Composio – KI-Agenten mit Apps wie GitHub, Slack und Gmail verbinden
🔗 ComposioHQ/composio
6. Gitpod (jetzt Ona) – Eine sofort einsatzbereite Entwicklungsumgebung Browser
🔗 ona.com
🔗 gitpod-io/gitpod
7. Continue – Ein Open-Source-KI-Codierungsassistent für VS Code und JetBrains
🔗 continuedev/continue
📖 Vollständiger Artikel: medium.com
Welche dieser Tools nutzt du? Schreib es uns in die Kommentare! 💬
#OpenSource #DeveloperTools #Programming #Coding #Shorts
[es-US] 7 herramientas de código abierto gratuitas
Antes de gastar dinero en herramientas de pago, echa un vistazo a estas 7 herramientas gratuitas de código abierto 👇
1. Tauri: Aplicaciones de escritorio ligeras y multiplataforma (Windows, Mac, Linux) a partir de código web
🔗 tauri-apps/tauri
2. Encore: Desarrolla el backend y automatiza la configuración de la infraestructura en la nube
🔗 encoredev/encore
3. Bun: Entorno de ejecución, empaquetador y transpilador de JavaScript rápidos, todo en uno
🔗 oven-sh/bun
4. Postiz: Programa publicaciones en redes sociales con contenido y análisis mediante IA
🔗 gitroomhq/postiz-app
5. Composio: Conecta agentes de IA con aplicaciones como GitHub, Slack y Gmail
🔗 ComposioHQ/composio
6. Gitpod (ahora Ona): Un entorno de desarrollo listo para programar En el navegador
🔗 ona.com
🔗 gitpod-io/gitpod
7. Continue: un asistente de codificación con IA de código abierto para VS Code y JetBrains
🔗 continuedev/continue
📖 Artículo completo: medium.com
¿Cuáles de estas herramientas usas? ¡Cuéntanos en los comentarios! 💬
#CódigoAbierto #HerramientasParaDesarrolladores #Programación #Codificación #Resumen
[fr-FR] 7 outils open source gratuits
Avant d'investir dans des outils payants, découvrez ces 7 outils open source gratuits 👇
1. Tauri – Applications de bureau multiplateformes légères (Windows, Mac, Linux) à partir de code web
🔗 tauri-apps/tauri
2. Encore – Développez du backend et automatisez la configuration de votre infrastructure cloud
🔗 encoredev/encore
3. Bun – Environnement d'exécution JavaScript rapide, bundler et transpileur tout-en-un
🔗 oven-sh/bun
4. Postiz – Programmez vos publications sur les réseaux sociaux grâce à l'IA et à l'analyse de contenu
🔗 gitroomhq/postiz-app
5. Composio – Connectez des agents IA à des applications comme GitHub, Slack et Gmail
🔗 ComposioHQ/composio
6. Gitpod (désormais Ona) – Un environnement de développement prêt à l'emploi Le navigateur
🔗 ona.com
🔗 gitpod-io/gitpod
7. Continue – Un assistant de codage IA open source pour VS Code et JetBrains
🔗 continuedev/continue
📖 Article complet : medium.com
Lequel de ces outils utilisez-vous ? Dites-le-nous en commentaire ! 💬
#OpenSource #OutilsDeDéveloppement #Programmation #Codage #Courtes
[id] 7 alat open-source gratis
Sebelum mengeluarkan uang untuk alat berbayar, lihat 7 alat open-source gratis ini 👇
1. Tauri – Aplikasi desktop lintas platform ringan (Windows, Mac, Linux) dari kode web
🔗 tauri-apps/tauri
2. Encore – Tulis backend, otomatiskan pengaturan infrastruktur cloud
🔗 encoredev/encore
3. Bun – Runtime JavaScript cepat, bundler, dan transpiler dalam satu paket
🔗 oven-sh/bun
4. Postiz – Jadwalkan postingan media sosial, dengan konten dan analitik AI
🔗 gitroomhq/postiz-app
5. Composio – Hubungkan agen AI ke aplikasi seperti GitHub, Slack, dan Gmail
🔗 ComposioHQ/composio
6. Gitpod (sekarang Ona) – Lingkungan pengembangan siap pakai di browser
🔗 ona.com
🔗 gitpod-io/gitpod
7. Continue – Asisten pengkodean AI sumber terbuka untuk VS Code dan JetBrains
🔗 continuedev/continue
📖 Artikel lengkap: medium.com
Alat mana yang Anda gunakan? Beri tahu kami di kolom komentar! 💬
#OpenSource #DeveloperTools #Programming #Coding #Shorts
[it] 7 strumenti open source gratuiti
Prima di spendere soldi in strumenti a pagamento, dai un'occhiata a questi 7 strumenti open source gratuiti 👇
1. Tauri – Applicazioni desktop leggere multipiattaforma (Windows, Mac, Linux) da codice web
🔗 tauri-apps/tauri
2. Encore – Scrivi il backend, automatizza la configurazione dell'infrastruttura cloud
🔗 encoredev/encore
3. Bun – Runtime JavaScript veloce, bundler e transpiler in un unico strumento
🔗 oven-sh/bun
4. Postiz – Pianifica i post sui social media, con contenuti e analisi basati sull'IA
🔗 gitroomhq/postiz-app
5. Composio – Collega agenti IA ad app come GitHub, Slack e Gmail
🔗 ComposioHQ/composio
6. Gitpod (ora Ona) – Un ambiente di sviluppo pronto all'uso Ambiente di sviluppo nel browser
🔗 ona.com
🔗 gitpod-io/gitpod
7. Continue – Un assistente di programmazione open source basato sull'IA per VS Code e JetBrains
🔗 continuedev/continue
📖 Articolo completo: medium.com
Quale di questi strumenti usi? Faccelo sapere nei commenti! 💬
#OpenSource #StrumentiPerSviluppatori #Programmazione #Coding #Brevi
[iw] 7 כלי קוד פתוח בחינם
לפני שאתם מוציאים כסף על כלים בתשלום, בדקו את 7 הכלים החינמיים האלה בקוד פתוח 👇
1. Tauri – אפליקציות שולחן עבודה קלות משקל חוצות פלטפורמות (Windows, Mac, Linux) מקוד אינטרנט
🔗 tauri-apps/tauri
2. Encore – כתיבת קצה אחורי, אוטומציה של הגדרת תשתית ענן
🔗 encoredev/encore
3. Bun – זמן ריצה מהיר של JavaScript, bundler ו-transpiler באחד
🔗 oven-sh/bun
4. Postiz – תזמון פוסטים במדיה חברתית, עם תוכן וניתוח של בינה מלאכותית
🔗 gitroomhq/postiz-app
5. Composio – חיבור סוכני בינה מלאכותית לאפליקציות כמו GitHub, Slack ו-Gmail
🔗 ComposioHQ/composio
6. Gitpod (כיום Ona) – סביבת פיתוח מוכנה לקוד ב- דפדפן
🔗 ona.com
🔗 gitpod-io/gitpod
7. Continue – עוזר קידוד בינה מלאכותית בקוד פתוח עבור VS Code ו-JetBrains
🔗 continuedev/continue
📖 המאמר המלא: medium.com
באיזה מהכלים האלה אתם משתמשים? ספרו לנו בתגובות! 💬
#קודפתוח #כלימפתחים #תכנות #קידוד #קטעים קצרים
[ja] 無料のオープンソースツール7選
有料ツールにお金をかける前に、以下の7つの無料オープンソースツールをチェックしてみてください👇
1. Tauri – Webコードから軽量なクロスプラットフォームデスクトップアプリ（Windows、Mac、Linux）を作成
🔗 tauri-apps/tauri
2. Encore – バックエンド開発、クラウドインフラストラクチャのセットアップを自動化
🔗 encoredev/encore
3. Bun – 高速なJavaScriptランタイム、バンドラー、トランスパイラーが一体化
🔗 oven-sh/bun
4. Postiz – AIコンテンツと分析機能を備えたソーシャルメディア投稿のスケジュール設定
🔗 gitroomhq/postiz-app
5. Composio – AIエージェントをGitHub、Slack、Gmailなどのアプリに接続
🔗 ComposioHQ/composio
6. Gitpod（現Ona） – すぐにコーディングできる開発環境ブラウザ
🔗 ona.com
🔗 gitpod-io/gitpod
7. Continue – VS CodeとJetBrains向けのオープンソースAIコーディングアシスタント
🔗 continuedev/continue
📖 記事全文：medium.com
これらのツールの中で、どれを使っていますか？コメントで教えてください！💬
#オープンソース #開発者ツール #プログラミング #コーディング #ショート
[ko] 무료 오픈소스 도구 7가지
유료 도구를 구입하기 전에 아래 7가지 무료 오픈 소스 도구를 확인해 보세요 👇
1. Tauri – 웹 코드로 개발 가능한 경량 크로스 플랫폼 데스크톱 앱(Windows, Mac, Linux)
🔗 tauri-apps/tauri
2. Encore – 백엔드 개발 및 클라우드 인프라 설정 자동화
🔗 encoredev/encore
3. Bun – 빠르고 안정적인 JavaScript 런타임, 번들러, 트랜스파일러를 하나로 통합
🔗 oven-sh/bun
4. Postiz – AI 기반 콘텐츠 및 분석 기능을 통해 소셜 미디어 게시물 예약
🔗 gitroomhq/postiz-app
5. Composio – GitHub, Slack, Gmail 등의 앱에 AI 에이전트 연결
🔗 ComposioHQ/composio
6. Gitpod (현재 Ona) – 바로 코딩 가능한 개발 환경 브라우저
🔗 ona.com
🔗 gitpod-io/gitpod
7. Continue – VS Code 및 JetBrains용 오픈 소스 AI 코딩 도우미
🔗 continuedev/continue
📖 전체 기사: medium.com
이 도구들 중 어떤 것을 사용하시나요? 댓글로 알려주세요! 💬
#오픈소스 #개발자도구 #프로그래밍 #코딩 #숏츠
[ml] 7 സൗജന്യ ഓപ്പൺ സോഴ്സ് ടൂളുകൾ
പണമടച്ചുള്ള ഉപകരണങ്ങൾക്കായി പണം ചെലവഴിക്കുന്നതിന് മുമ്പ്, ഈ 7 സൗജന്യ ഓപ്പൺ സോഴ്സ് ഉപകരണങ്ങൾ പരിശോധിക്കുക 👇
1. ടൗറി – വെബ് കോഡിൽ നിന്നുള്ള ലൈറ്റ്വെയ്റ്റ് ക്രോസ്-പ്ലാറ്റ്ഫോം ഡെസ്ക്ടോപ്പ് ആപ്പുകൾ (വിൻഡോസ്, മാക്, ലിനക്സ്)
🔗 tauri-apps/tauri
2. എൻകോർ – ബാക്കെൻഡ് എഴുതുക, ക്ലൗഡ് ഇൻഫ്രാസ്ട്രക്ചർ സജ്ജീകരണം ഓട്ടോമേറ്റ് ചെയ്യുക
🔗 encoredev/encore
3. ബൺ – വേഗതയേറിയ ജാവാസ്ക്രിപ്റ്റ് റൺടൈം, ബണ്ടിൽ, ട്രാൻസ്പൈലർ എന്നിവ ഒന്നിൽ
🔗 oven-sh/bun
4. പോസ്റ്റിസ് – AI ഉള്ളടക്കവും വിശകലനങ്ങളും ഉപയോഗിച്ച് സോഷ്യൽ മീഡിയ പോസ്റ്റുകൾ ഷെഡ്യൂൾ ചെയ്യുക
🔗 gitroomhq/postiz-app
5. കമ്പോസിയോ – GitHub, Slack, Gmail പോലുള്ള ആപ്പുകളിലേക്ക് AI ഏജന്റുകളെ ബന്ധിപ്പിക്കുക
🔗 ComposioHQ/composio
6. Gitpod (ഇപ്പോൾ ഓണ) – ഒരു റെഡി-ടു-കോഡ് ഡെവലപ്മെന്റ് എൻവയോൺമെന്റ് ബ്രൗസറിൽ
🔗 ona.com
🔗 gitpod-io/gitpod
7. തുടരുക – VS കോഡിനും ജെറ്റ്ബ്രെയിനുകൾക്കുമുള്ള ഒരു ഓപ്പൺ സോഴ്സ് AI കോഡിംഗ് അസിസ്റ്റന്റ്
🔗 continudev/continue
📖 പൂർണ്ണ ലേഖനം: medium.com
ഈ ടൂളുകളിൽ ഏതാണ് നിങ്ങൾ ഉപയോഗിക്കുന്നത്? അഭിപ്രായങ്ങളിൽ ഞങ്ങളെ അറിയിക്കുക! 💬
#OpenSource #DeveloperTools #Programming #Coding #Shorts
[nl-NL] 7 gratis open-source tools
Voordat je geld uitgeeft aan betaalde tools, bekijk dan deze 7 gratis open-source tools 👇
1. Tauri – Lichtgewicht, platformonafhankelijke desktop-apps (Windows, Mac, Linux) gebaseerd op webcode
🔗 tauri-apps/tauri
2. Encore – Schrijf backends en automatiseer de configuratie van cloudinfrastructuur
🔗 encoredev/encore
3. Bun – Snelle JavaScript-runtime, bundler en transpiler in één
🔗 oven-sh/bun
4. Postiz – Plan berichten voor sociale media, met AI-content en analyses
🔗 gitroomhq/postiz-app
5. Composio – Verbind AI-agents met apps zoals GitHub, Slack en Gmail
🔗 ComposioHQ/composio
6. Gitpod (nu Ona) – Een kant-en-klare ontwikkelomgeving browser
🔗 ona.com
🔗 gitpod-io/gitpod
7. Continue – Een open-source AI-codeerassistent voor VS Code en JetBrains
🔗 continuedev/continue
📖 Volledig artikel: medium.com
Welke van deze tools gebruik jij? Laat het ons weten in de reacties! 💬
#OpenSource #DeveloperTools #Programming #Coding #Shorts
[pa] 7 ਮੁਫਤ ਓਪਨ-ਸੋਰਸ ਟੂਲ
ਭੁਗਤਾਨ ਕੀਤੇ ਟੂਲਸ 'ਤੇ ਪੈਸੇ ਖਰਚਣ ਤੋਂ ਪਹਿਲਾਂ, ਇਹਨਾਂ 7 ਮੁਫ਼ਤ ਓਪਨ-ਸੋਰਸ ਟੂਲਸ ਨੂੰ ਦੇਖੋ 👇
1. ਟੌਰੀ - ਵੈੱਬ ਕੋਡ ਤੋਂ ਹਲਕੇ ਕਰਾਸ-ਪਲੇਟਫਾਰਮ ਡੈਸਕਟੌਪ ਐਪਸ (ਵਿੰਡੋਜ਼, ਮੈਕ, ਲੀਨਕਸ)
🔗 tauri-apps/tauri
2. ਐਨਕੋਰ - ਬੈਕਐਂਡ ਲਿਖੋ, ਕਲਾਉਡ ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਸੈੱਟਅੱਪ ਨੂੰ ਸਵੈਚਲਿਤ ਕਰੋ
🔗 encoredev/encore
3. ਬਨ - ਇੱਕ ਵਿੱਚ ਤੇਜ਼ JavaScript ਰਨਟਾਈਮ, ਬੰਡਲਰ, ਅਤੇ ਟ੍ਰਾਂਸਪਾਈਲਰ
🔗 oven-sh/bun
4. ਪੋਸਟਿਜ਼ - AI ਸਮੱਗਰੀ ਅਤੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਨਾਲ ਸੋਸ਼ਲ ਮੀਡੀਆ ਪੋਸਟਾਂ ਨੂੰ ਤਹਿ ਕਰੋ
🔗 gitroomhq/postiz-app
5. ਕੰਪੋਜ਼ਿਓ - AI ਏਜੰਟਾਂ ਨੂੰ GitHub, Slack, ਅਤੇ Gmail ਵਰਗੀਆਂ ਐਪਾਂ ਨਾਲ ਕਨੈਕਟ ਕਰੋ
🔗 ComposioHQ/composio
6. ਗਿੱਟਪੌਡ (ਹੁਣ ਓਨਾ) - ਇੱਕ ਤਿਆਰ-ਤੋਂ-ਕੋਡ ਵਿਕਾਸ ਵਾਤਾਵਰਣ ਬ੍ਰਾਊਜ਼ਰ
🔗 ona.com
🔗 gitpod-io/gitpod
7. ਜਾਰੀ ਰੱਖੋ – VS ਕੋਡ ਅਤੇ JetBrains ਲਈ ਇੱਕ ਓਪਨ-ਸੋਰਸ AI ਕੋਡਿੰਗ ਸਹਾਇਕ
🔗 continuedev/continue
📖 ਪੂਰਾ ਲੇਖ: medium.com
ਤੁਸੀਂ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕਿਹੜੇ ਟੂਲ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋ? ਸਾਨੂੰ ਟਿੱਪਣੀਆਂ ਵਿੱਚ ਦੱਸੋ! 💬
#OpenSource #DeveloperTools #Programming #Coding #Shorts
[pl] 7 darmowych narzędzi open-source
Zanim wydasz pieniądze na płatne narzędzia, sprawdź te 7 darmowych narzędzi open source 👇
1. Tauri – Lekkie, wieloplatformowe aplikacje desktopowe (Windows, Mac, Linux) z kodu webowego
🔗 tauri-apps/tauri
2. Encore – Napisz backend, zautomatyzuj konfigurację infrastruktury chmurowej
🔗 encoredev/encore
3. Bun – Szybkie środowisko uruchomieniowe JavaScript, bundler i transpiler w jednym
🔗 oven-sh/bun
4. Postiz – Planuj posty w mediach społecznościowych z treściami i analizami AI
🔗 gitroomhq/postiz-app
5. Composio – Połącz agentów AI z aplikacjami takimi jak GitHub, Slack i Gmail
🔗 ComposioHQ/composio
6. Gitpod (obecnie Ona) – Gotowe do kodowania środowisko deweloperskie w przeglądarce
🔗 ona.com
🔗 gitpod-io/gitpod
7. Kontynuuj – asystent kodowania AI typu open source dla VS Code i JetBrains
🔗 continuedev/continue
📖 Pełny artykuł: medium.com
Którego z tych narzędzi używasz? Daj nam znać w komentarzach! 💬
#OpenSource #NarzędziaDeweloperskie #Programowanie #Kodowanie #Krótkie
[pt-BR] 7 ferramentas open source gratuitas
Antes de gastar dinheiro com ferramentas pagas, confira estas 7 ferramentas gratuitas de código aberto 👇
1. Tauri – Aplicativos leves e multiplataforma para desktop (Windows, Mac, Linux) criados a partir de código web
🔗 tauri-apps/tauri
2. Encore – Escreva backend e automatize a configuração da infraestrutura em nuvem
🔗 encoredev/encore
3. Bun – Runtime, bundler e transpilador JavaScript rápidos em um só
🔗 oven-sh/bun
4. Postiz – Agende publicações em mídias sociais com conteúdo e análises de IA
🔗 gitroomhq/postiz-app
5. Composio – Conecte agentes de IA a aplicativos como GitHub, Slack e Gmail
🔗 ComposioHQ/composio
6. Gitpod (agora Ona) – Um ambiente de desenvolvimento pronto para codificar Navegador
🔗 ona.com
🔗 gitpod-io/gitpod
7. Continue – Um assistente de codificação de IA de código aberto para VS Code e JetBrains
🔗 continuedev/continue
📖 Artigo completo: medium.com
Quais dessas ferramentas você usa? Conte para nós nos comentários! 💬
#OpenSource #DeveloperTools #Programming #Coding #Shorts
[ru] 7 бесплатных инструментов с открытым исходным кодом
Прежде чем тратить деньги на платные инструменты, ознакомьтесь с этими 7 бесплатными инструментами с открытым исходным кодом 👇
1. Tauri – Легковесные кроссплатформенные настольные приложения (Windows, Mac, Linux) из веб-кода
🔗 tauri-apps/tauri
2. Encore – Разработка бэкенда, автоматизация настройки облачной инфраструктуры
🔗 encoredev/encore
3. Bun – Быстрая среда выполнения JavaScript, сборщик и транспайлер в одном
🔗 oven-sh/bun
4. Postiz – Планирование публикаций в социальных сетях с использованием ИИ-контента и аналитики
🔗 gitroomhq/postiz-app
5. Composio – Подключение ИИ-агентов к таким приложениям, как GitHub, Slack и Gmail
🔗 ComposioHQ/composio
6. Gitpod (теперь Ona) – A Готовая к использованию среда разработки в браузере
🔗 ona.com
🔗 gitpod-io/gitpod
7. Continue – помощник по программированию с открытым исходным кодом на основе ИИ для VS Code и JetBrains
🔗 continuedev/continue
📖 Полная статья: medium.com
Какие из этих инструментов вы используете? Расскажите нам в комментариях! 💬
#OpenSource #DeveloperTools #Programming #Coding #Shorts
[ta] 7 இலவச ஓப்பன் சோர்ஸ் கருவிகள்
கட்டணக் கருவிகளில் பணம் செலவழிப்பதற்கு முன், இந்த 7 இலவச ஓப்பன்-சோர்ஸ் கருவிகளைப் பாருங்கள் 👇
1. Tauri – வலைக் குறியீட்டிலிருந்து உருவாக்கப்படும் இலகுவான, பல இயங்குதளங்களில் (Windows, Mac, Linux) இயங்கும் டெஸ்க்டாப் செயலிகள்
🔗 tauri-apps/tauri
2. Encore – பேக்கெண்ட் எழுதுங்கள், கிளவுட் உள்கட்டமைப்பு அமைப்பைத் தானியங்குபடுத்துங்கள்
🔗 encoredev/encore
3. Bun – வேகமான ஜாவாஸ்கிரிப்ட் ரன்டைம், பண்ட்லர் மற்றும் டிரான்ஸ்பைலர் அனைத்தும் ஒன்றில்
🔗 oven-sh/bun
4. Postiz – AI உள்ளடக்கம் மற்றும் பகுப்பாய்வுகளுடன் சமூக ஊடகப் பதிவுகளைத் திட்டமிடுங்கள்
🔗 gitroomhq/postiz-app
5. Composio – AI ஏஜென்ட்களை GitHub, Slack மற்றும் Gmail போன்ற செயலிகளுடன் இணைக்கவும்
🔗 ComposioHQ/composio
6. Gitpod (இப்போது Ona) – குறியீடு எழுதத் தயாரான ஒரு டெவலப்மென்ட் சூழல் உலாவி
🔗 ona.com
🔗 gitpod-io/gitpod
7. கண்டினியூ – VS கோட் மற்றும் ஜெட்பிரெய்ன்ஸுக்கான ஒரு திறந்த மூல AI கோடிங் உதவியாளர்
🔗 continuedev/continue
📖 முழு கட்டுரை: medium.com
இந்தக் கருவிகளில் நீங்கள் எதைப் பயன்படுத்துகிறீர்கள்? கருத்துகளில் எங்களுக்குத் தெரியப்படுத்துங்கள்! 💬
#திறந்தமூலம் #டெவலப்பர்கருவிகள் #நிரலாக்கம் #கோடிங் #குறுகியவை
[te] 7 ఉచిత ఓపెన్-సోర్స్ సాధనాలు
డబ్బు చెల్లించి కొనే టూల్స్పై ఖర్చు పెట్టే ముందు, ఈ 7 ఉచిత ఓపెన్-సోర్స్ టూల్స్ను చూడండి 👇
1. టౌరీ – వెబ్ కోడ్ నుండి తేలికైన క్రాస్-ప్లాట్ఫామ్ డెస్క్టాప్ యాప్లు (విండోస్, మాక్, లైనక్స్)
🔗 tauri-apps/tauri
2. ఎన్కోర్ – బ్యాకెండ్ రాయండి, క్లౌడ్ ఇన్ఫ్రాస్ట్రక్చర్ సెటప్ను ఆటోమేట్ చేయండి
🔗 encoredev/encore
3. బన్ – వేగవంతమైన జావాస్క్రిప్ట్ రన్టైమ్, బండ్లర్, మరియు ట్రాన్స్పైలర్ అన్నీ ఒకే దానిలో
🔗 oven-sh/bun
4. పోస్టిజ్ – AI కంటెంట్ మరియు అనలిటిక్స్తో సోషల్ మీడియా పోస్ట్లను షెడ్యూల్ చేయండి
🔗 gitroomhq/postiz-app
5. కంపోజియో – GitHub, Slack, మరియు Gmail వంటి యాప్లకు AI ఏజెంట్లను కనెక్ట్ చేయండి
🔗 ComposioHQ/composio
6. గిట్పాడ్ (ఇప్పుడు ఓనా) – కోడ్ చేయడానికి సిద్ధంగా ఉన్న ఒక డెవ్ ఎన్విరాన్మెంట్ బ్రౌజర్
🔗 ona.com
🔗 gitpod-io/gitpod
7. కంటిన్యూ – VS కోడ్ మరియు జెట్బ్రెయిన్స్ కోసం ఒక ఓపెన్-సోర్స్ AI కోడింగ్ అసిస్టెంట్
🔗 continuedev/continue
📖 పూర్తి వ్యాసం: medium.com
ఈ టూల్స్లో మీరు ఏవి ఉపయోగిస్తారు? కామెంట్స్లో మాకు తెలియజేయండి! 💬
#OpenSource #DeveloperTools #Programming #Coding #Shorts
[uk] 7 безкоштовних інструментів з відкритим вихідним кодом
Перш ніж витрачати гроші на платні інструменти, ознайомтеся з цими 7 безкоштовними інструментами з відкритим кодом 👇
1. Tauri – Легкі кросплатформні настільні програми (Windows, Mac, Linux) з веб-коду
🔗 tauri-apps/tauri
2. Encore – Пишіть бекенд, автоматизуйте налаштування хмарної інфраструктури
🔗 encoredev/encore
3. Bun – Швидке середовище виконання JavaScript, пакетер та транспілятор в одному
🔗 oven-sh/bun
4. Postiz – Плануйте публікації в соціальних мережах, використовуючи контент та аналітику на основі штучного інтелекту
🔗 gitroomhq/postiz-app
5. Composio – Підключайте агентів штучного інтелекту до таких програм, як GitHub, Slack та Gmail
🔗 ComposioHQ/composio
6. Gitpod (тепер Ona) – Готове до написання коду середовище розробки в браузер
🔗 ona.com
🔗 gitpod-io/gitpod
7. Continue – Помічник з кодування штучного інтелекту з відкритим вихідним кодом для VS Code та JetBrains
🔗 continuedev/continue
📖 Повна стаття: medium.com
Яким із цих інструментів користуєтеся ви? Повідомте нам у коментарях! 💬
#ВідкритийВихіднийКод #ІнструментиДляРозробника #Програмування #Кодування #КороткіРубрики
6 likes · 343 views
Brotliデコーダ脆弱性（CVE-2026-111497）の影響確認：部品台帳・実体パス・バックポートで判定する
!ヘッダ画像
はじめに
あきらパパです。Google Brotliのデコーダに境界外書込の脆弱性が公表されました。HTTP2Shell（CVE-2026-111497）の名前で紹介されている件です。識別子と対象範囲は、作業時点の公式告知で照合してください。
本記事は、手元の開発環境で「どこにBrotliデコーダがあり、どれが動き、外部入力が届くか」を整理したい開発者向けです。Node.js、Python、curlを中心に扱います。
- 根拠は2026-10-25 14:51 JSTに確認した公式資料です。
- コマンドは読み取りのみです。更新・削除・再起動のコマンドは載せません。
- 攻撃データによる再現や、侵害有無の判定は扱いません。
- 例はmacOS（zsh）基準です。OS差がある箇所は明記します。
概要
!図1：圧縮データ→解凍処理→アプリ。問題は信頼できない入力が修正前の解凍処理に届く経路
図はすべて概念図です。実測画面ではありません。
Node.jsの告知によると、問題はBrotliデコーダの境界外書込です。細工されたBrotliデータをnode:zlibで解凍する経路が条件で、クラッシュ、メモリ漏えい、RCEの可能性が挙げられています。Node.jsの評価はHighです。nodejs.org
見るべきは形式やライブラリの存在ではなく、攻撃者が制御できる入力が、修正前のデコーダに届く経路です。
修正の根拠になる公式情報
| 対象 | 修正版・根拠 |
|---|---|
| Node.js 22系 | 22.23.4（当該修正コミットをcherry-pick） |
| Google Brotli（上流） | 1.2.1（2026-10-21公開） |
| Python Brotli（PyPI） | 1.2.1 |
| brotlicffi（PyPI） | 1.2.1.0 |
| Bun | 公式アドバイザリの修正情報に従う |
| Envoy | 公式アドバイザリ（Brotli decompressorが対象） |
| Istio | EnvoyFilter等でBrotli解凍を有効化した利用者に更新案内 |
出典：
- Node.js 22.23.4 nodejs.org
- Google Brotli 1.2.1 github.com/google/brotli/releases/tag/v1.2.1
- GitHub Reviewed Advisory（Python） advisories/GHSA-9v8h-qqgm-4m35
- Bun github.com/oven-sh/bun/security/advisories/GHSA-6…
- Envoy github.com/envoyproxy/envoy/security/advisories/G…
- Istio istio.io
注意点です。
- Node.js 22系以外の系列は、本記事では修正版を載せていません。公式告知から辿ってください。
- PyPIのパッケージ版と、上流libbrotliの系列別の修正版は別の番号体系です。
- Istioのページは複数の脆弱性を扱います。ページ全体の深刻度を、Brotli単体のスコアとして読まないでください。
- Patch the Planetのまとめは参考になりますが、検索キャッシュに古い内容が残る場合があります。版番号は個別の公式資料を優先します。patchtheplanet.org
判定は5つに分ける
!図3：存在・選択・稼働・入力到達・修正根拠の5確認
| 確認 | 問い | 主な手がかり |
|---|---|---|
| 存在 | 影響する部品がディスク上にあるか | node_modules、wheel、アプリ同梱 |
| 選択 | 実行時にその部品が選ばれるか | PATH、バージョンマネージャ、venv |
| 稼働 | いま動くプロセスが使っているか | PID、実体パス、起動時刻 |
| 入力到達 | 外部入力がデコーダに届くか | 受信・取得・ファイル展開 |
| 修正根拠 | 修正を何で確認できるか | 公式リリース記載、バックポート |
「古い部品を発見」は「RCE成立」ではありません。逆に、実証できないことは安全の証明にもなりません。
部品台帳を作る
!図2：アプリ内部の複数部品と別環境。OSや既定Node一つの更新では全体は置換されない
OSや既定のNode.jsを1つ更新しても、別の場所のコピーは置き換わりません。層ごとに台帳を作ります。
| 層 | 例 |
|---|---|
| システム | OS付属のcurl、Homebrew等のパッケージ、共有libbrotli |
| 言語ランタイム | nvm／fnm／Volta／mise／asdf等の複数Node.js、Bun、Python（venv、uv、pipx、conda） |
| アプリ同梱 | Electron等のデスクトップアプリ、IDE、AIエージェントやMCPの付属ランタイム |
| ネイティブ同梱 | 他パッケージのwheelやネイティブ拡張に含まれる別コピー |
| 再生成元 | ロックファイル、Dockerfile、CI、コンテナイメージ、キャッシュ |
よくある落とし穴です。
- PATH先頭のnodeだけを見て、CLIごとに固定されたNode.jsを見落とす。
- pip showしたPythonと、アプリが使うPythonが別。
- Python Brotliを更新しても、curl-cffiやPillow等のネイティブ部品に同梱された別コピーは変わらない。なお、同梱があっても全読込経路が危険とは限らない。
- ElectronアプリのNode表示番号を、通常のNode.js配布物と機械的に比較する。
読み取り専用で確認するコマンド
以下が返すのは、そのシェルから呼ばれた1つの環境の情報だけです。GUIアプリ、常駐サービス、コンテナ、別のvenvは別途確認が必要です。結果がどうであれ、端末全体の安全は証明できません。
Node.js
node -p "JSON.stringify({version: process.version, brotli: process.versions.brotli, execPath: process.execPath}, null, 2)"
- version：本体の版です。Node.js公式配布の22系では22.23.4が修正版の例です。ほかの配布元では、その配布元の修正情報も照合します。
- brotli：同梱Brotliの版表示です。バックポートでは修正後も表示が変わらない場合があるため、単独では判定しません。
- execPath：実際に動いたバイナリのパスです。shimではなく実体が出ます。
同名のnodeが複数ないかも見ます。プロジェクトのディレクトリでも確認します。.nvmrcや.tool-versions等の指定が実際に反映されるかは、管理ツールやシェルの設定次第です。ファイルがあるだけで自動的に切り替わるとは限りません。
# macOS / Linux（zsh・bash）
which -a node
# Windows PowerShell
Get-Command node -All
Python
# macOS / Linux。Windowsでは python3 を py に置き換え
python3 -c "import sys; print(sys.executable)"
python3 -m pip show Brotli brotlicffi
- 1行目で、どのPythonを見ているかを記録します。
- VersionとLocationを見ます。未インストールなら警告が出ます。
- 環境ごとに結果は別です。他パッケージに同梱されたコピーはここには出ません。
curl
curl --version
1行目にbrotli/x.y.z、Featuresにbrotliがあれば、Brotliを扱えるビルドです。表示はリンク先ライブラリの版で、配布元のバックポートは反映されないことがあります。
macOSでは、OS付属の/usr/bin/curlとHomebrewのcurl（Apple Siliconは/opt/homebrew、Intelは/usr/local配下）が併存しがちです。
# macOSのみ
which -a curl
otool -L "$(command -v curl)" | grep -i brotli
otool -Lは動的リンクのみ表示します。静的リンクなら出ないため、出ないことは不使用の証明になりません。Linuxではパッケージ管理ツールの情報で確認します。
稼働プロセスと待受
# macOS / Linux。トークン等を含むことがあるため引数は表示しない
ps -axo pid,ppid,lstart,comm
lsof -nP -iTCP -sTCP:LISTEN
- 設定上の既定版と、いま動く実行ファイルは別物です。
- next-server、ワーカー、MCPサーバーなど、名前がnodeでない子プロセスもあります。
- 127.0.0.1の待受と、*や0.0.0.0の待受を分けます。
- 待受がなくても、取得したレスポンスを解凍するクライアント側の経路はあり得ます。
- 権限により、他ユーザーのプロセスは見えないことがあります。
入力到達を見る観点
- 受信：Content-Encoding: brのリクエスト本文を解凍するサーバーやプロキシ。
- 取得：外部から取得したレスポンスを解凍するクライアント（HTTPクライアント、AIエージェントのWeb取得など）。
- ファイル：Brotli圧縮されたファイルやフォント等の展開。
Accept-Encodingからbrを外しても、相手がbrで返した場合の解凍を必ず防げるとは限りません。CDNのレスポンス圧縮を止めても、受信リクエストやクライアント側の解凍は止まりません。緩和するなら、解凍前の拒否やデコーダの無効化まで確認します。
対応の流れと判定表
!図4：調査→判定→承認範囲の更新→再起動→検証→再生成確認
1. 調査：台帳とコマンドで現状を記録する。
2. 判定：5つの確認で分類する。
3. 承認範囲の更新：公式アップデータやパッケージ管理の通常手順で行う。不要なメジャー更新は避ける。
4. 再起動：親だけでなく、子やワーカーも入れ替わったかを見る。
5. 検証：execPathと版、通常の圧縮・解凍などの正常系を確認する。
6. 再生成確認：ロックファイル、Dockerfile、CIの版固定、キャッシュから旧版が戻らないかを見る。
| 分類 | 意味 |
|---|---|
| 修正済み確認 | 実際に使う部品に修正の根拠がある |
| 旧部品確認・到達経路あり | 優先して対応 |
| 旧部品確認・到達経路未確認 | 調査と更新を進める |
| 影響の疑い | 間接証拠のみ。追加情報が必要 |
| 当該経路の対象外 | 根拠と限定範囲を添える |
| 未確認 | 理由を添える。低リスク扱いにしない |
やらないこと
- 業務端末や本番に、攻撃データを投入して確かめる。
- 署名アプリやベンダー管理キャッシュ内のバイナリを手で差し替える。
- 内容を確かめずに一括更新コマンドを流す。
- 調査結果から「侵害されていない」と断定する。
- スコアだけで順位を決める。同時期のPHP2ShellもCVSS 9.2と発表されていますが、単純な比較はしません。php2shell.com
Codex／Claude Codeに渡すプロンプト
ここまでの手順を、ローカル環境で横断的に進めるためのプロンプトです。既定の実行モードは「ローカル対応まで」で、調査、判定、承認範囲の更新、再起動、検証、残課題の報告までを依頼します。
- 環境を変えずに台帳だけ欲しい場合は、実行モード：ローカル対応までの行を調査のみに書き換えます。
- 対象名とCVEは既定値が入っていますが、調査当日の一次情報で照合させる指示です。修正版番号もハードコードさせません。
- 停止影響が不明なプロセス、OS再起動、削除、本番変更、外部送信は、まとめて確認を求める設計です。
- 出力の一覧表では「未確認」と「残課題」を必ず読みます。共有前に、個人パスや内部URLが残っていないかも確認してください。
あなたは、端末・開発環境・依存ライブラリ・運用中プロセスを横断して調査し、根拠に基づいて修正と検証まで行うセキュリティエンジニアです。
実行モード：ローカル対応まで
対象：HTTP2Shell／CVE-2026-111497
「調査のみ」に変更された場合は環境を変更せず、情報取得と報告に留めてください。
私の環境について、脆弱性のニュースを実機の対応に変えてください。説明や更新候補の列挙で終わらず、対象の特定、影響判定、優先順位、許可された修正、再起動、動作確認、残課題の報告まで進めてください。
対象の脆弱性を別途指定していない場合は、HTTP2Shell／CVE-2026-111497として調査を開始してください。ただし、名前・CVE・影響範囲・修正版を最初から正しいと仮定せず、調査当日の一次情報で検証してください。
**1. 作業範囲と権限**
対象は、このチャットから正当にアクセスできる私の端末とローカル開発環境です。この依頼により、対象ソフトのローカル調査、バックアップ、公式更新、安全で可逆な依存更新、設定修正、影響を把握したローカル補助プロセスの再起動、通常機能の検証を許可します。
私のデータ、認証情報、作業中の変更を保全してください。停止対象と影響を確認できない重要プロセス、作業中アプリ全体の終了、OS再起動、データ削除、本番変更、公開、外部送信、認証・課金・契約操作は、必要な事前調査と具体案を用意してから、必要なものだけまとめて確認してください。許可済みの可逆な作業について同じ確認を繰り返さないでください。
秘密鍵、トークン、Cookie、パスワード、.envの値、認証を含むコマンド引数・プロセス環境を出力・外部送信しないでください。設定ファイルは必要なキーだけ調査し、バックアップに秘密情報が含まれる場合は私的領域に限定してください。
利用可能なツール、アクセス範囲、既存の運用ルールを最初に確認してください。実行権限がない場合は、実行したふりをせず、未確認の範囲と必要な最小手順を提示してください。
**2. 最初に確認する事実**
実際の日時・タイムゾーン、OS、CPUアーキテクチャ、ユーザー権限、実行環境を確認してください。MacのIntel／Apple Silicon／Rosetta、コンテナ／ホスト、遠隔環境を混同しないでください。
ベンダーのセキュリティ情報、公式リリース、修正コミット、公式パッケージ情報を優先し、次を整理してください。
- 脆弱性の実在と正しい識別子。
- 原因となる部品と処理、必要な入力・設定・権限。
- 影響する版、修正済みの版、バックポート、サポート終了系列。
- 確認された被害、公開された実証、理論上の影響の違い。
- 修正が未提供の対象と、有効な緩和策の条件。
SNSの要約、製品名の列挙、「通信するものは全部危険」といった説明をそのまま採用しないでください。CVSSだけで私の端末の危険度を決めないでください。情報に食い違いがあれば、一次情報と不確実性を明示してください。
**3. 棚卸しは実際に使われる経路から**
既存の調査・更新履歴があれば再利用し、現在の状態を確認してください。調査前の状態を記録し、同じ環境を重複して新規扱いしないでください。
次の層を、存在するものから確認してください。
- OS、ブラウザ、デスクトップアプリ、Electron／Chromium／CEF、アプリ別添のNode等。
- Node、Bun、Python、curl、共有ライブラリ、実際に使われるパッケージ管理環境。
- Volta、nodebrew、nvm、fnm、mise、asdf等の既定版・プロジェクト指定・CLI個別指定。
- Homebrew等のシステムパッケージ、uv／pipx、venv、conda、ユーザーsite-packages。
- IDE／AIエージェント／MCPの付属ランタイム、複数世代のバンドル、補助実行ファイル。
- プロジェクトの版固定、ロックファイル、CI、Dockerfile、コンテナイメージ、配布物。
- キャッシュ、旧バージョン、保管コピー、復元時に再利用される依存部品。
PATH上の先頭だけで終わらず、実体パス、シンボリックリンク、シェル・GUI・サービスごとの起動元を追ってください。同名コマンドの別コピーや、CLIごとの固定Nodeを区別してください。
停止中のDockerや未承認の遠隔環境は勝手に起動・変更せず、未確認範囲として示してください。
探索は絞り込みと段階的な追加調査で行い、無関係な巨大キャッシュを繰り返し走査しないでください。走査件数を安全性の証明として扱わないでください。
**4. 実行中プロセスを必ず確認**
設定上の既定版と、現在動いている実行ファイルは別物です。PID、親子関係、起動元、実体バイナリ、ロード済みライブラリ、待受アドレスを必要な範囲で照合してください。
プロセス名がnodeでないからといって除外しないでください。next-server、worker、MCP、ヘルパーなど、名前が変更された子プロセスも確認してください。親に待受がなくても、子が待受していることがあります。
作業ディレクトリだけで公開サーバーと断定しないでください。localhost待受、外部待受、外向き通信、トンネルを分けてください。ソケットがない瞬間の観測だけで、将来も外部入力を扱わないと断定しないでください。
再起動後は、古い親だけでなく古い子・ワーカーが残っていないことを確認してください。PIDは再利用されるため、操作直前に起動時刻・所有者・実体パス・親子関係を再照合してください。
**5. 部品の存在・利用・攻撃経路を分ける**
対象ごとに次の4点を分けて判定してください。
A. 影響する部品が存在するか。
B. その部品が現在選択・ロードされるか。
C. 攻撃者が制御する入力が、その問題の処理に届くか。
D. 修正を含む実装であることを、何で確認できるか。
「古い部品を発見」を「このアプリでRCEが成立」と言い換えないでください。逆に、実証できていないことを安全の証明にもしないでください。
表示バージョンだけで判断せず、公式のバックポート、配布元独自の修正、静的／動的リンク、実際にロードされるライブラリを確認してください。文字列・シンボルの有無は補助根拠であり、単独で安全・脆弱を確定しないでください。
ElectronのNode表示番号と、通常のNode配布物を機械的に比較しないでください。エンジンが利用する依存実装と、別添の独立Nodeを分けて調べてください。製品の一部分が修正済みでも、製品全体を安全扱いしないでください。
**6. HTTP2Shellで特に見落とさない点**
Google Brotli由来の問題であることを一次情報で確認したうえで、次の経路を調べてください。
- HTTPリクエスト本文、取得したHTTPレスポンス、ファイル、フォント等の展開。
- Python Brotli／brotlicffiだけでなく、curl-cffi、Pillow／FreeType等のネイティブ部品に同梱された別コピー。
- システム共用libbrotliと、静的リンク・wheel同梱・アプリ内ライブラリの違い。
- アプリ本体、CLI、画像処理、ブラウザ操作等がそれぞれ別のランタイムを持つ可能性。
PythonのBrotliパッケージを更新しただけで、Pillowやcurl-cffiの内部も更新されたとみなさないでください。PillowにBrotliが存在しても、すべての画像読込経路を危険と断定しないでください。
Accept-Encodingからbrを外すだけでは、相手がbrを返す場合の解凍を必ず防げるとは限りません。緩和する場合は、解凍前の拒否または該当デコーダの無効化まで確認してください。CDNのレスポンス圧縮を止めただけで、クライアントや受信リクエストの解凍も止まるとみなさないでください。
過去に知られた修正版番号を恒久的な基準としてハードコードせず、調査当日の公式情報と各配布物の実装を照合してください。
**7. 判定表と優先順位**
各対象を、次のいずれかに分類してください。
- 修正済み確認：実際に使う部品に修正の根拠がある。
- 旧部品確認・到達経路あり：対応を優先する。
- 旧部品確認・到達経路未確認：調査と更新を進める。
- 影響の疑い：間接証拠のみで、確定には追加情報が必要。
- 当該経路の対象外：根拠と限定範囲を示す。
- 未確認：アクセス不可・情報不足などの理由を示す。
対応状態は別の列で「未着手／修正済み・再起動待ち／検証済み／暫定緩和／保留」に分けてください。
優先順位は、外部入力への到達可能性、稼働・選択状態、権限、データの重要性、業務への影響、修正の可逆性で決めてください。「未確認」を自動的に低リスクへ落とさないでください。
**8. 修正の実行**
変更前に、対象、変更内容、期待効果、停止範囲、復元方法を短く提示してください。既に許可されたローカルの可逆な作業は、そのまま実行してください。
公式アップデータ・パッケージ管理の通常手順を優先してください。ダウンロード先と配布元を確認し、可能なら署名、チェックサム、配布メタデータを検証してください。未検証の取得スクリプトを安易に直接実行しないでください。
互換性を保てる修正版を選び、不要なメジャー更新を避けてください。CLI本体、付属ランタイム、Python環境、ネイティブ同梱部品を別々に検証してください。更新コマンドの成功を修正完了にしないでください。
公式最新版にも旧部品が残る場合は、安全な公式配布経路、修正済み依存を使う独立環境、問題のある任意機能の停止などを検討してください。機能を減らす場合は、失われる機能を具体的に説明してください。
署名アプリやベンダー管理キャッシュ内のバイナリ手差し替え、ABI・リンク先変更は通常更新の許可に含めません。必要なら根拠、互換性、復元方法、再生成時の挙動を具体化し、別途確認してください。署名・保護機構を無効化したり、公式修正版に見せるためメタデータを書き換えたりしないでください。
暫定変更には、環境再生成・自動更新による巻戻り、外部ライブラリへの新しい依存、再検査条件を必ず記録してください。利用者の依頼なしに常駐監視や自動化を追加しないでください。
**9. 再起動と動作確認**
設定を変えただけで完了にしないでください。サービス管理方法と起動条件を確認し、保存が必要な作業を守り、対象の親子プロセスを修正版で起動してください。二重起動やポート競合を避けてください。
再起動時は必要な引数・作業場所・設定を保全し、秘密情報を出力しないでください。起動元を理解できないプロセスを機械的に停止しないでください。
実際の起動パス、実行中バイナリ、ロード済みライブラリ、正常応答を確認してください。通常データの圧縮・解凍、ローカルHTTP応答、画像・フォント処理など、変更した機能に合う小さな正常系テストを使ってください。
業務端末や本番に攻撃コードを投入して安全性を証明しようとしないでください。認証情報を伴う外部アクセスや不要な課金テストを行わないでください。必要な検証が通ったら、意味のない追加テストを続けないでください。
**10. 残存コピーと再発条件**
更新前のバイナリ、旧世代のアプリ、キャッシュ、バックアップ、CIの固定指定、過去のコンテナ・配布物を区別してください。
不使用の旧コピーを、稼働中の脆弱サービスと同じ数え方にしないでください。ただし、再選択・復元・再ビルドで旧版が復活する経路は記録してください。削除権限がないものを勝手に消さず、整理候補として示してください。
バックアップは私的な場所に置き、旧実行物を通常のPATH・自動起動から外してください。復元手順には「旧脆弱性も戻る」ことを明記してください。
自分を動かす宿主の停止は証跡と再開手順を保存して最後に行ってください。失敗時は変更を広げず復旧し、脆弱な旧版へ戻した場合は未解決として緩和策を示してください。旧版互換性テストと本番用ビルドを区別し、テスト対象を無断で削らないでください。
**11. 最終成果物**
まず結論を短く伝え、次の一覧表を出してください。
対象｜所在・起動元｜変更前｜変更後｜影響判定と根拠｜実施した対応｜検証結果｜残課題｜優先度
続いて、次を簡潔にまとめてください。
- 通常更新で対応完了したもの。
- 暫定対応・機能制限を伴うもの。
- 再起動待ち、未対応、追加権限・ベンダー修正待ちのもの。
- ローカル調査では判断できなかった本番・クラウド・他端末。
- バックアップ場所、復元方法、再発時の確認方法。
- 調査日時、一次情報へのリンク、秘密情報を除いたローカル証跡。
ファイルを作れる場合は、詳細Markdownと対応一覧CSVを保存してリンクしてください。過去の調査スナップショットを現在の事実で上書きせず、今回の実施結果を区別してください。
**12. 完了判定**
「存在する」「選択される」「実行中」「攻撃経路がある」「修正がある」を混同しないでください。
修正完了とする条件は、対象の実行経路で修正済み部品が使われ、必要な再起動が済み、通常機能の検証が通り、今回の対象に未処理の旧経路が残っていないことです。満たせない条件があれば、達成した部分と残った部分を明示してください。
私の環境全体が安全、侵害されていない、すべて対応済みといった包括的な結論を、調査範囲を超えて出さないでください。情報が不足していても調査だけで止まらず、許可された範囲の修正を進め、最後に私が判断すべき事項だけを残してください。
製品数、部品コピー数、環境数、プロセス数を別集計にし、共有版では個人パス・内部URL・秘密情報を伏せてください。まず読み取り中心の調査を開始し、指定モードで許可された対応と検証まで進めてください。
まとめ
「存在」「選択」「稼働」「入力到達」「修正根拠」を分けて記録すると、ニュースを手元の対応に落とし込めます。コマンドの結果は1環境分の事実です。確認できなかった欄は「未確認」と理由を残すことが次の調査につながります。
この記事のもとにした著者のX投稿です。x.com
資料確認日時：2026-10-25 14:51 JST
Bun fixes an HTTP/3 bug that could stall a server with a 20 KB request
1 point
I debated putting this editorializing in the title, but:
At $work we've been refreshing the Bun release page for days, wondering when they would push the fix. The PR with the change merged over 72 hours ago: github.com/oven-sh/bun/commit/ea6a2c7b7c988626277…
I'm not a security expert, but package managers seem uniquely vulnerable to MITM attacks.
I don't really see the point of spending $MM in tokens to create a software factory if you can't push security releases out in a timely fashion.
Mentions
【CVE-2026-111497】Brotliの脆弱性（Broccoli2Shell） 概要 Googleが開発するデータ圧縮ライブラリ「Brotli」において、細工された圧縮ストリームを展開（デコード）する際に境界外書き込みが発生する脆弱性が公表された。未認証の遠隔の攻撃者から悪意あるBrotli圧縮ストリームを処理させられることで、隣接するデコーダー状態メモリの破壊、機密メモリ内容の漏洩、サービス拒否（DoS）、または任意のコード実行（RCE）に至る可能性がある1。 項目 内容 CVE ID CVE-2026-111497 対象ソフトウェア Google Brotli（C言語デコーダー実装 c/dec/decode.c） CVSSスコア ・9.2 Critical (CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N — Google CNA / GitHub) ・9.8 Critical (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — NVD) ・8.1 High / Important (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H — Microsoft / Red Hat / AWS) 脆弱性種別 CWE-252: 戻り値の未チェック（Unchecked Return Value）、CWE-787: 境界外書き込み（Out-of-bounds Write） 発見・報告者 Khai Tran 氏、Sylvie Mayer 氏（OpenAI Codex Security） 悪用・KEV登録状況 Imperva社がNode.js 24.22.0（Linux arm64公式イメージ）環境でのRCE実証を報告。2026年10月27日付で米国CISA KEVに追加（対策期限: 2026年11月10日） 本脆弱性は、発見から波及範囲の判明に至る経緯の中で以下の3つの通称で呼ばれている。 Node2Shell: 2026年10月21日のNode.jsセキュリティリリース公表後、Imperva Red TeamがNode.js組み込みBrotliデコーダーにおける解析およびRCE実証に命名した呼称である4。 HTTP2Shell: 当初はNode.jsに関連して「Node2Shell」と呼称されていたが、根本原因がHTTP通信（Content-Encoding: br）等で広く利用されるBrotliのC言語実装にあり、複数製品が影響を受けることから「HTTP2Shell」とも呼称されている（HTTP/2プロトコル自体の脆弱性ではない）5。 Broccoli / Broccoli2Shell: セキュリティ研究者のJuliano Rizzo氏が「Node2Shellという名称は影響範囲を狭く見せてしまう」として「Broccoli」と呼ぶことを提唱したことに端を発し、追跡サイト「broccoli2shell.com」等で用いられている呼称である6。 影響を受けるバージョンと修正バージョン 1. Brotli の影響範囲と修正状況 Brotliの公式C実装において、バージョン 1.0.3 から 1.2.0 までのデコーダーが影響を受ける。各系統の修正バージョンは以下の通りである1。 系統 / ブランチ 影響を受けるバージョン 修正版 補足 1.0 系 >= 1.0.3, < 1.0.10 1.0.10 コミット 50a9b70a（0ed4268a のバックポート） 1.1 系 >= 1.1.0, < 1.1.1 1.1.1 コミット da980636（0ed4268a のバックポート） 1.2 系 >= 1.2.0, < 1.2.1 1.2.1 コミット b418fa81 / 0ed4268a 2. 主要ランタイム・言語パッケージ・アプライアンスの対応状況 BrotliのC言語デコーダーをバンドルまたはバインディングとして組み込んでいる各ランタイム・パッケージおよびネットワーク製品の対応状況は以下の通りである。 ランタイム / 製品 影響を受けるバージョン 修正版 補足 Node.js (v24 LTS) 24.x（< 24.22.1） v24.22.1 / v24.22.2 3 v24.22.1 で修正（v24.22.2 はリグレッション修正版） Node.js (v22 LTS) 22.x（< 22.23.4） v22.23.4 組み込みBrotliの更新（2026年10月セキュリティリリース） Node.js (v26 Current) 26.x（< 26.12.1） v26.12.1 組み込みBrotliの更新（EOL系統の <= 20.x, 23.x, 25.x も影響対象） Bun >= 1.0.21, < 1.4.4 1.4.4 8 バンドルするBrotliを 1.2.0 から 1.2.1 へ更新（GHSA-663w-cv8g-jj2p） Python (brotli / PyPI) >= 1.0.3, < 1.2.1 1.2.1 7 PyPI上の公式C拡張パッケージ（GHSA-9v8h-qqgm-4m35） Python (brotlicffi / PyPI) >= 1.0.3, < 1.2.1.0 1.2.1.0 Brotli C実装のCFFIバインディング（GHSA-9v8h-qqgm-4m35） .NET 8 / 9 / 10 8.0.0〜8.0.32 9.0.0〜9.0.21 10.0.0〜10.0.13 Runtime 8.0.33 Runtime 9.0.22 Runtime 10.0.14 9 SDKは 8.0.133/8.0.427、9.0.123/9.0.320、10.0.114/10.0.403 で修正 Palo Alto Networks PAN-OS PAN-OS 12.2 / 12.1 / 11.2 の未修正版 12.2.4-h1 12.1.7-h11 等 6 データプレーンでTLS復号とBrotli検査を有効化している場合のみ影響（デフォルト無効） 3. 主要Linuxディストリビューションの対応状況 OSの共有ライブラリ（libbrotli）およびディストリビューション提供パッケージにおける対応状況は以下の通りである。ディストリビューションによってはNode.jsや.NETパッケージがOS標準の共有ライブラリ（libbrotli）を動的リンクしているため、影響有無がパッケージ単位で異なる点に注意が必要である。 ディストリビューション 対象パッケージ 修正版 補足 Amazon Linux 2023 brotli, libbrotli, python3-brotli nodejs24, dotnet8.0 1.1.0-1.amzn2023.0.2 アドバイザリ: ALAS2023-2026-3334（brotli）、ALAS2023-2026-3330（nodejs24）、ALAS2023-2026-3367（dotnet8.0）。nodejs22・dotnet9.0・dotnet10.0 は影響なし Ubuntu brotli, libbrotli1, python3-brotli dotnet8, dotnet10, dotnet11 24.04 LTS: 1.1.0-2ubuntu0.1 22.04 LTS: 1.0.9-2ubuntu0.1 アドバイザリ: USN-8956-1（Brotli）、USN-8958-1（.NET 8.0.33 / 10.0.14） Debian brotli, libbrotli1 Trixie (13): 1.1.0-2+deb13u1 Bookworm (12): 1.0.9-2+deb12u1 DSA-6582-1 / DLA-4855-1。Debianの nodejs と python-brotlicffi はシステムの brotli を利用 RHEL (Red Hat) brotli, nodejs:24, dotnet8.0, firefox, thunderbird 提供済（各RHSA） RHSB-2026-015（Important）。RHEL 8/9の nodejs:22、RHEL 10の nodejs22/nodejs24、および dotnet9.0/10.0/11.0 はシステムの brotli を利用 4. AWS マネージドサービスの対応状況 AWSの 2026-155-AWS で公表されている主要マネージドサービスの対応状況は以下の通りである10。 対象サービス / リソース 修正版 補足 AWS Lambda（Node.js 22/24/26、.NET 8/9/10） 更新済 マネージドランタイム・ベースイメージ更新済。コンテナイメージ利用時は最新ベースイメージでの再ビルドが必要（Python/Ruby/provided.al2023 はBrotli非同梱） AWS Elastic Beanstalk (Node.js) 6.11.12 Node.js 24.22.1 および 22.23.4 を含むプラットフォームバージョン 6.11.12 を提供済 AWS App Runner / Amplify / CodeBuild / Synthetics 更新済 App Runnerは2026年10月26日に全リージョン更新済（未デプロイのサービスは1回再デプロイが必要） 影響を受ける条件 本脆弱性は、ライブラリがシステム上に存在するだけでは発火せず、「信頼できないBrotli圧縮ストリームを、対象アプリケーションやプロキシがデコード（展開）する」 処理が行われた際に成立する6。 1. 前提となるシステム・ネットワーク構成 攻撃が成立する代表的な経路は以下の4パターンである。 パターン1：クライアントからの圧縮HTTPリクエストボディを展開するサーバー / API クライアントから送信された Content-Encoding: br ヘッダー付きのリクエストボディを、ミドルウェア（Node.jsのExpress 5.0.0〜5.3.0やbody-parser 2.0.0〜2.3.0における raw() / json() 等）やバックエンドアプリケーションが自動または明示的にBrotli展開している構成（なお、素の node:http サーバー自体は単体ではリクエストボディを自動展開しない）。 パターン2：外部サーバーからの圧縮HTTPレスポンスを展開するHTTPクライアント / クローラー 接続先サーバーから返却された Content-Encoding: br レスポンスを自動展開する構成（Node.jsやBunの組み込み fetch()、Brotliパッケージがインストールされた環境でのPython urllib3 / requests / aiohttp / httpx[brotli] 等）。 多くのHTTPクライアントはリクエスト時に Accept-Encoding: br を送信したかどうかにかかわらず、レスポンスヘッダーに Content-Encoding: br が含まれていれば自動的にBrotliデコーダーを呼び出す。そのため、任意のURLを取得するWebhook、リンクプレビュー、クローラー、または非暗号化通信経路上の中間者攻撃において、悪意あるサーバーから一方的に Content-Encoding: br のレスポンスを返されるだけでトリガーされ得る。 パターン3：ファイアウォール等のデータプレーンにおけるトラフィック検査 Palo Alto NetworksのPAN-OS（PA-Series / VM-Series）において、データプレーン上でTLS/SSL復号（Decryption）とBrotliインスペクションの両方が有効化されている場合、通過するBrotliトラフィックをファイアウォール自身が展開するため影響を受ける。 パターン4：デコーダーAPIの直接呼び出し・ファイル処理 アーカイブ、キャッシュ、メッセージキュー等の外部データを、node:zlib（brotliDecompress*、createBrotliDecompress）、Web標準の DecompressionStream、Pythonの brotli.decompress()、.NETの BrotliStream / BrotliDecoder 等で直接展開している場合。 ! 影響を受けないケース: 圧縮（エンコード）のみ・静的 .br ファイル配信のみの構成: 脆弱性はデコーダー（c/dec/decode.c）に存在するため、信頼できるデータをサーバー側でBrotli圧縮して送信するのみの構成や、事前圧縮された静的な .br ファイルをそのまま配信するだけの構成ではデコード処理が行われず、影響を受けない。 .NET のデフォルト挙動: Microsoftのアドバイザリによれば、ASP.NET Coreおよび HttpClient はデフォルトではBrotli圧縮データを自動展開しない。自動展開でBrotliを有効化するよう明示的に設定変更している場合、または System.IO.Compression（BrotliStream / BrotliDecoder）で信頼できないデータを直接展開している場合のみ影響を受ける9。 2. スタンドアロン実行ファイル・コンテナイメージに関する注意点 自己完結型バイナリ（Self-Contained / 単一実行ファイル）: .NETのSelf-ContainedデプロイやNativeAOTでビルドされたアプリケーション、およびBunの bun build --compile で生成された実行ファイルは、ビルド時点のランタイム（および脆弱なBrotliデコーダー）をバイナリ内部に埋め込んでいるため、ランタイム更新後にアプリケーションの再ビルドと再デプロイが必要である。 動的リンクとバンドルの違い: Red Hat Enterprise LinuxやDebian、Amazon Linux 2023では、パッケージによってBrotliを内部バンドルしているもの（例：AL2023およびRHEL 8/9の nodejs24、dotnet8.0）と、OSの共有ライブラリ libbrotli を動的リンクしているもの（例：Debianの nodejs、RHEL 8/9およびAL2023の nodejs22、dotnet9.0、dotnet10.0）が混在している。したがって、OSパッケージとランタイムの双方を確認・更新し、実行中のプロセスを再起動する必要がある。 3. 自環境の確認方法 1. Node.js のバージョンおよびバンドルされている Brotli バージョンの確認 node --version node -p "process.versions.brotli" 2. Bun のバージョン確認（1.4.4 以上であるか） bun --version 3. .NET ランタイムのバージョン確認（8.0.33 / 9.0.22 / 10.0.14 以上であるか） dotnet --list-runtimes 4. Python パッケージの確認（Brotli 1.2.1 以上、brotlicffi 1.2.1.0 以上であるか） python3 -m pip show brotli brotlicffi 5. Linux OSパッケージおよびロード済み共有ライブラリの確認 dpkg -l | grep -i brotli # Debian / Ubuntu rpm -qa | grep -i brotli # RHEL / Amazon Linux sudo grep -l brotlidec /proc/[0-9]*/maps 2>/dev/null 脆弱性の技術的な仕組み 前提：Brotliのブロック切り替えと高速パス（Fast Path）/ 安全パス（Safe Path） Brotliの圧縮ストリームは複数のブロックに分割されており、デコーダーはストリームを読み進めながらリテラル（tree_type = 0）、挿入・コピーコマンド（tree_type = 1）、距離コード（tree_type = 2）のブロックタイプを切り替える。 ブロックタイプを切り替える際、デコーダーは c/dec/decode.c 内の DecodeBlockTypeAndLength() を呼び出して次のブロックタイプ番号とブロック長をビットストリームから読み取る。このときBrotliデコーダーは、入力バッファに十分なデータがある場合に境界チェックを省略して高速に処理する Fast Path（safe = 0） と、入力不足を検査しながら処理する Safe Path（safe = 1） の2つの経路を持っている。 原因：戻り値の未チェック（CWE-252）と境界外書き込み（CWE-787） 脆弱性の根本原因は、c/dec/decode.c 内の DecodeBlockTypeAndLength() が返す真偽値 BROTLI_BOOL の仕様と、呼び出し元における戻り値の未チェックにある1。 戻り値 BROTLI_FALSE における2種類の意味の混在: 修正前の DecodeBlockTypeAndLength() は戻り値として単なる真偽値（BROTLI_BOOL）を返していた。この関数は、Safe Pathで入力ビットが一時的に不足している場合（!SafeReadSymbol や !SafeReadBlockLength）に BROTLI_FALSE を返すだけでなく、ストリームのブロックタイプ最大数 max_block_type が 1 以下であるにもかかわらずブロック切り替えが要求されたというストリーム構文エラー（フォーマット不正） の場合（if (max_block_type <= 1) return BROTLI_FALSE;）にも同じ BROTLI_FALSE を返していた。 Fast Path（safe = 0）での戻り値の無視: 修正前のコードでは、Fast Path用のラッパー関数 DecodeLiteralBlockSwitch()、DecodeCommandBlockSwitch()、DecodeDistanceBlockSwitch() の戻り値型が static void と定義されており、内部で呼び出す Decode*BlockSwitchInternal(0, s) の戻り値を完全に無視していた。さらに呼び出し元のマクロ BROTLI_SAFE(METHOD) も、safe == 0 の分岐では戻り値を検証せずにそのまま処理を継続する実装となっていた。 不正な内部状態でのデコード継続と境界外書き込み: 細工された圧縮ストリームによって本来起こり得ないブロック切り替えが要求された際、脆弱なデコーダーは構文エラーで停止せず、「追加入力が必要である」状態と誤認する、あるいはFast Path上でエラーを無視して不整合な内部状態のまま処理を継続してしまう。その結果、内部バッファの終端を越えて攻撃者のバイト列が書き込まれ、隣接するデコーダー状態メモリ（BrotliDecoderState）の破壊や機密メモリの漏洩、さらには任意のコード実行（RCE）へとつながる。 攻撃フロー 修正パッチ Googleの公式リポジトリにおける修正コミット 0ed4268a（および各ブランチへの反映コミット 50a9b70a、da980636、b418fa81）では、以下の変更が行われている2。 c/include/brotli/decode.h に、ブロック切り替えのフォーマット異常を表す新しいエラーコード BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH = -17 を追加。 DecodeBlockTypeAndLength() および各 Decode*BlockSwitch*() 関数の戻り値型を BROTLI_BOOL / void から BrotliDecoderErrorCode に変更し、max_block_type <= 1 のフォーマット異常時は BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH、入力不足時は BROTLI_DECODER_NEEDS_MORE_INPUT、成功時は BROTLI_DECODER_SUCCESS を明示的に返すように修正。 Safe PathとFast Pathの両方でステータスコードを検証し、BROTLI_DECODER_SUCCESS 以外の場合は即座に saveStateAndReturn へジャンプして処理を中断するマクロ BROTLI_SAFE_WITH_STATUS(METHOD) を導入。 c/dec/decode.c // google/brotli commit 0ed4268a より抜粋 -static BROTLI_INLINE BROTLI_BOOL DecodeBlockTypeAndLength( +static BROTLI_INLINE BrotliDecoderErrorCode DecodeBlockTypeAndLength( int safe, BrotliDecoderState* s, int tree_type) { brotli_reg_t max_block_type = s->num_block_types[tree_type]; const HuffmanCode* type_tree = &s->block_type_trees[ @@ -1187,7 +1187,7 @@ brotli_reg_t* ringbuffer = &s->block_type_rb[tree_type * 2]; brotli_reg_t block_type; if (max_block_type <= 1) { - return BROTLI_FALSE; - return BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH; } /* Read 0..15 + 3..39 bits. */ @@ -1197,11 +1197,13 @@ } else { BrotliBitReaderState memento; BrotliBitReaderSaveState(br, &memento); - if (!SafeReadSymbol(type_tree, br, &block_type)) return BROTLI_FALSE; - if (!SafeReadSymbol(type_tree, br, &block_type)) { - return BROTLI_DECODER_NEEDS_MORE_INPUT; - } if (!SafeReadBlockLength(s, &s->block_length[tree_type], len_tree, br)) { s->substate_read_block_length = BROTLI_STATE_READ_BLOCK_LENGTH_NONE; BrotliBitReaderRestoreState(br, &memento); - return BROTLI_FALSE; - return BROTLI_DECODER_NEEDS_MORE_INPUT; } } ... ringbuffer[0] = ringbuffer[1]; ringbuffer[1] = block_type; - return BROTLI_TRUE; - return BROTLI_DECODER_SUCCESS; } -static BROTLI_INLINE BROTLI_BOOL DecodeLiteralBlockSwitchInternal( +static BROTLI_INLINE BrotliDecoderErrorCode DecodeLiteralBlockSwitchInternal( int safe, BrotliDecoderState* s) { - if (!DecodeBlockTypeAndLength(safe, s, 0)) { - return BROTLI_FALSE; - BrotliDecoderErrorCode result = DecodeBlockTypeAndLength(safe, s, 0); - if (result != BROTLI_DECODER_SUCCESS) { - return result; } PrepareLiteralDecoding(s); - return BROTLI_TRUE; - return BROTLI_DECODER_SUCCESS; } -static void BROTLI_NOINLINE DecodeLiteralBlockSwitch(BrotliDecoderState* s) { - DecodeLiteralBlockSwitchInternal(0, s); +static BROTLI_NOINLINE BrotliDecoderErrorCode +DecodeLiteralBlockSwitch(BrotliDecoderState* s) { - return DecodeLiteralBlockSwitchInternal(0, s); } 呼び出し元のマクロも以下のように BROTLI_SAFE_WITH_STATUS へ置き換えられ、safe フラグの有無にかかわらずエラー発生時にデコードが即座に停止するようになった。 c/dec/decode.c +/* NB: METHOD should return BROTLI_DECODER_SUCCESS, BROTLI_DECODER_ERROR_*, or - BROTLI_DECODER_NEEDS_MORE_INPUT; the later two break the processing. */ +#define BROTLI_SAFE_WITH_STATUS(METHOD) \ - { \ - BrotliDecoderErrorCode status; \ - if (safe) { \ - status = Safe##METHOD; \ - } else { \ - status = METHOD; \ - } \ - if (status != BROTLI_DECODER_SUCCESS) { \ - result = status; \ - goto saveStateAndReturn; \ - } \ - } 対策と緩和策 1. 恒久対策：修正バージョンへのアップデートと再ビルド 利用しているOSパッケージ、言語ランタイム、および依存ライブラリを修正バージョンへ更新し、稼働中のプロセスを再起動する。また、単一実行ファイル化（Bunの bun build --compile、.NETのSelf-Contained / NativeAOT）やDockerコンテナイメージを利用している場合は、更新後のランタイム・ベースイメージを用いて再ビルドおよび再デプロイを実施する必要がある。 各環境におけるアップデートコマンド例# 1. Amazon Linux 2023 の場合（ALAS2023-2026-3334 / 3330 / 3367） sudo dnf update brotli nodejs24 dotnet8.0 -y 2. Ubuntu / Debian の場合（USN-8956-1 / USN-8958-1 / DSA-6582-1） sudo apt update && sudo apt install --only-upgrade brotli libbrotli1 python3-brotli -y 3. Node.js の更新（nvm を利用している場合） nvm install 24.22.1 # または 22.23.4 / 26.12.1 4. Python パッケージ（PyPI）の更新（1.2.1 / 1.2.1.0 以上） pip install -U "Brotli>=1.2.1" "brotlicffi>=1.2.1.0" 5. Bun の更新（1.4.4 以上） bun upgrade 2. 一時的な緩和策（アップデートが直ちに実施できない場合） 各ベンダーのアドバイザリおよび技術資料では、即座にパッチを適用できない環境向けに以下の緩和策が案内されている。 WAFやリバースプロキシにおける受信 Content-Encoding: br リクエストの遮断: AWSのセキュリティブレティン 2026-155-AWS 等では、クライアントから送信される Content-Encoding: br ヘッダー付きHTTPリクエストをWAFやプロキシで拒否する緩和策が提示されている。AWSが公開しているAWS WAFカスタムルールの設定例（Countモードで検証後に "Count": {} を "Block": {} に変更する手順）は以下の通りである。なお、AWS WAFは受信リクエストのみを検査するため、アプリケーションが外部サーバーから取得するレスポンスには効かない点に留意が必要である10。 { "Name": "Node2Shell_BROTLI", "Priority": 2, "Statement": { "RegexMatchStatement": { "RegexString": "^\s*br\s*$", "FieldToMatch": { "SingleHeader": { "Name": "content-encoding" } }, "TextTransformations": [ { "Priority": 0, "Type": "LOWERCASE" } ] } }, "Action": { "Count": {} }, "RuleLabels": [ { "Name": "Node2Shell_Brotli" } ], "VisibilityConfig": { "SampledRequestsEnabled": true, "CloudWatchMetricsEnabled": true, "MetricName": "Node2Shell_BROTLI" } } HTTPクライアントおよびPython環境におけるBrotliデコードの抑止: 注意点（Accept-Encoding ヘッダー変更の限界）: リクエストヘッダーの Accept-Encoding から br を除外したとしても、悪意あるサーバーはそれを無視して Content-Encoding: br のレスポンスを送りつけることができるため、クライアント側で自動解凍自体が有効なままでは対策として不十分である。 Bun: セキュリティアドバイザリ（GHSA-663w-cv8g-jj2p）では、fetch 呼び出し時に decompress: false を渡すことで、Accept-Encoding: br の送信を抑止するとともにレスポンス自体の自動デコードを無効化する回避策が案内されている8。 Python: 直ちにアップグレードできない場合の緩和策として、Brotli および brotlicffi パッケージ（ならびに httpx[brotli] 等のextra指定）自体をアンインストールし、urllib3、requests、aiohttp 等でBrotliデコーダーが呼び出されない状態（gzip / deflate へのフォールバック）にする方法が挙げられている6。 PAN-OS: ホットフィックス適用までの回避策としてCLIから set system setting brotli-encoding disable を実行（またはWeb UIの Device > Setup > Content-ID から Allow Brotli Encoding のチェックを解除）してBrotliインスペクションを無効化する手順が案内されている。 参考資料・出典一覧 CVE.org - CVE-2026-111497 Google Brotli GitHub Repository - Commit 0ed4268a Node.js - Wednesday, October 21, 2026 Security Releases Imperva Blog - Node2Shell: From Brotli Data to Remote Code Execution (CVE-2026-111497) JPCERT/CC - BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関する注意喚起 (JPCERT-AT-2026-0034) Broccoli2Shell: Brotli decoder RCE (CVE-2026-111497) in Node.js, Python and more GitHub Advisory Database - GHSA-9v8h-qqgm-4m35 (PyPI brotli / brotlicffi) Bun Security Advisory - GHSA-663w-cv8g-jj2p Microsoft .NET Security Advisory - CVE-2026-111497: Out of bounds write in Brotli leads to RCE AWS Security Bulletin - 2026-155-AWS: CVE-2026-111497: Native Brotli Decoder Remote Code Execution and Memory Disclosure
Node2Shell (CVE-2026-111497): which Node.js versions fix it and where Node hides Node2Shell is the name researchers gave CVE-2026-111497, a flaw in the Brotli decoder that ships inside Node.js. On 21 October 2026 the Node.js project fixed it in 22.23.4, 24.22.1 and 26.12.1. An app that decompresses Brotli data someone else can supply, such as a compressed request body or a response fetched from another server, can crash, leak memory or run an attacker's code. The fix is in Node.js itself, so npm update doesn't apply it: the runtime has to be upgraded everywhere it runs. What Node2Shell is Brotli is a compression format that web servers and browsers use alongside gzip. Node.js bundles a Brotli decoder in node:zlib. The Node.js advisory describes the bug: an invalid block switch in a compressed stream was treated as a temporary need for more input instead of a format error, so the decoder kept appending bytes to an eight-byte internal buffer and wrote past its end. Memory corruption like that can crash the process, leak memory, or let an attacker run code. Node.js rates it high and says it permits remote code execution. It was reported by OpenAI Codex Security. Imperva's researchers then reproduced it as code execution without authentication, and proof-of-concept code is public, so treat every unpatched Node.js service that handles outside data as a target. Are you exposed? A Node.js process is exposed when it, or a library it uses, decompresses Brotli data that an attacker controls. Imperva tested two common ways that happens. Incoming requests. Express 5 and body-parser 2 decompress request bodies sent with Content-Encoding: br, because body-parser's inflate option is on by default. So an app with app.use(express.json()) can be reached by a single crafted request, before any login. Outgoing requests. Node's built-in fetch() asks for and decompresses Brotli responses on its own. Any server your code calls that an attacker controls or has compromised can reach the decoder: webhooks you call back, link previews, scrapers, AI agents that fetch the pages a user gives them, health checks of other sites. Code that calls the Brotli functions in node:zlib directly on outside data is exposed the same way. Firewalls in front of your app only see the first path: they can't inspect what your code fetches from elsewhere. Which versions fix it Each supported Node.js line has one release with the fix (the table below). The same release also fixes nine other vulnerabilities, including three TLS certificate and DNS bugs rated high, so it's worth taking even if your app never touches Brotli. Node.js 20 and older get no fix: they're past end of life, and the Node.js project says end-of-life versions are always affected when a security release ships. Bun, which bundles its own Brotli decoder, fixed the same flaw in 1.4.4. Where Node.js hides The upgrade has to reach every copy of Node that runs your code, and there are usually more than one. Container images. A Dockerfile pinned to an exact version, such as node:24.22.0, stays vulnerable however often you rebuild it: move the pin to 24.22.1 or later. Base images that bundle their own Node (browser-testing images, for example) pin whatever was current when they were built, so upgrade Node inside them too. Servers and CI. Node installed with nvm, a package manager or a CI setup action is upgraded there, then the service restarted. Hosting platforms. Vercel deployed firewall rules against the incoming path for every project on 21 October and manages patch versions for its Node.js 22.x and 24.x runtimes, so those projects need no version change. Projects still on Node.js 20 must switch to 22.x or 24.x and redeploy. Vercel also notes its firewall doesn't cover responses your functions fetch from other servers. On other hosts, check the platform's own notice for which Node version your functions run. Apps built with AI. If an AI app builder or coding agent wrote your app's server code, the question is the same: which runtime runs it, and at which version. See monitoring for AI-built apps for what else to watch once it's live. How to check Run node --version on laptops, CI runners and servers, and docker run --rm <image> node --version for each container image. In a running service you can log process.version at startup. Anything below the fixed release for its line, or on Node.js 20 or older, needs upgrading. If you can't update today Upgrading is the fix. Until it's rolled out, you can narrow the incoming path: refuse requests with Content-Encoding: br at your proxy or firewall, or set inflate: false on body-parser and express.json(), which rejects every compressed request body (check first that none of your clients send them). There's no setting that protects the outgoing path, because a malicious server can send a Brotli response whatever your code asks for. Avoid fetching untrusted URLs from unpatched services until they're upgraded. Runtimes with the Node2Shell fix | Runtime | Fixed in | Note | |---|---|---| | Node.js 26 | 26.12.1 | Current release line | | Node.js 24 | 24.22.1 | LTS | | Node.js 22 | 22.23.4 | LTS | | Node.js 20 and older | No fix | End of life: upgrade to 22 or 24 | | Bun | 1.4.4 | Bundles its own Brotli decoder | Questions, answered Does npm update fix Node2Shell? No. The flaw is in Node.js itself, not in a package, so updating dependencies doesn't change it. Upgrade the Node.js runtime to 22.23.4, 24.22.1 or 26.12.1 or newer wherever your code runs, then restart or redeploy. I don't use Express. Am I safe? Not necessarily. Node's built-in fetch() decompresses Brotli responses by default, so code that fetches from servers you don't control is exposed whatever framework you use. Upgrade Node anyway. My app is on Vercel. Do I need to do anything? On Node.js 22.x or 24.x, Vercel manages the patch version and has firewall rules against malicious request bodies, so no version change is needed. On Node.js 20, switch to 22.x or 24.x and redeploy. Vercel's firewall doesn't cover responses your functions fetch from other servers. I'm on Node.js 20 or 18. What now? They get no fix: both are past end of life. Upgrade to Node.js 22 or 24, test, and redeploy. Does a web application firewall protect me? Only against crafted requests coming in. It can't see the responses your code fetches from other servers, which is the other way in. Rules buy time; the upgrade is the fix. Sources - Node.js — Wednesday, October 21, 2026 Security Releases - Imperva — Node2Shell: From Brotli Data to Remote Code Execution - Vercel — Node.js security advisory: Brotli decoder RCE (CVE-2026-111497) - Aikido — Node2Shell: Node.js Brotli vulnerability allows remote code execution and the fix - body-parser — the inflate option (expressjs/body-parser) - Bun — brotli: reject invalid block switch (CVE-2026-111497), oven-sh/bun #46351
Last week, we published 3 security advisories including Brotli, tls certificates, and quic As future hardening, we will replace most of Bun’s C/C++ dependencies with our own safe Rust implementation. Starting with libarchive bun#46638
HdrHistogram is another bun#46650
Node2Shell: Google's Brotli Bug Hits Node.js, Bun and Python (Update Now) A memory bug in Google's Brotli decoder (CVE-2026-111497) lets crafted compressed data crash an app, leak memory or possibly run an attacker's code. Node.js fixed it on 21 October 2026, and the same decoder also sits in Bun, the Python Brotli and brotlicffi packages, and Envoy. Imperva researchers, who call it "Node2Shell", ran code on an official Node.js build in a lab test; no attacks in the wild have been reported. An OpenAI Codex Security team found it, and the fix sat in Brotli's source code since February without a security release. Honest miss, or should that fix have shipped back in February? Comment your side. Like and subscribe for more. What to update: Node.js 22.23.4, 24.22.1 or 26.12.1 (Node.js 20 and older get no fix). Bun 1.4.4 or newer. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 or 1.37.8. libbrotli 1.2.1, 1.1.1 or 1.0.10. Then restart services and rebuild container images. Sources: • Node.js security release (21 Oct 2026): nodejs.org • CVE record (Google): cve.org • NVD: nvd.nist.gov • Google Brotli v1.2.1 release: github.com/google/brotli/releases/tag/v1.2.1 • GitHub advisory (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35 • Envoy advisory: github.com/envoyproxy/envoy/security/advisories/G… • Bun fix: bun#46352 and bun.com • The Hacker News (22 Oct): thehackernews.com • The Hacker News (23 Oct): thehackernews.com • The Hacker News (24 Oct): thehackernews.com • Cybernews: cybernews.com Image credits: • Page screenshots: nodejs.org, The Hacker News, GitHub (google/brotli) • Node.js logo via Wikimedia Commons (MIT) • Python logo via Wikimedia Commons • Google "G" logo via Wikimedia Commons • Bun logo: bun.com (official logo) Node.js is a trademark of the OpenJS Foundation. Python is a trademark of the Python Software Foundation. Google and Brotli are trademarks of Google LLC. Bun and Envoy are trademarks of their owners. Used for news commentary. This Short uses an AI voice and AI-assisted editing. Facts checked against the sources above. #NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts [ar] Node2Shell: ثغرة Brotli من جوجل تصيب Node.js وBun وPython (حدّث الآن) ثغرة أمنية في ذاكرة برنامج فك تشفير Brotli من جوجل (CVE-2026-111497) تسمح بتعطيل التطبيقات، وتسريب الذاكرة، أو حتى تشغيل شيفرة برمجية خبيثة. أصلحت Node.js هذه الثغرة في 21 أكتوبر 2026، وهي موجودة أيضًا في Bun، وحزمتي Brotli وbrotlicffi في بايثون، وEnvoy. أجرى باحثو Imperva، الذين أطلقوا عليها اسم "Node2Shell"، اختبارًا عمليًا على نسخة رسمية من Node.js، ولم تُسجّل أي هجمات فعلية. اكتشف فريق أمن OpenAI Codex هذه الثغرة، وظلّ الإصلاح مُضمّنًا في شيفرة Brotli المصدرية منذ فبراير دون إصدار تحديث أمني. هل كان هذا خطأً غير مقصود، أم كان من المفترض إصدار هذا الإصلاح في فبراير؟ شاركنا رأيك في التعليقات. لا تنسَ الإعجاب والاشتراك للمزيد. ما يجب تحديثه: Node.js 22.23.4 أو 24.22.1 أو 26.12.1 (لا يتم إصلاح Node.js 20 والإصدارات الأقدم). Bun 1.4.4 أو أحدث. Python: Brotli 1.2.1 أو brotlicffi 1.2.1.0. Envoy 1.40.0 أو 1.39.3 أو 1.38.6 أو 1.37.8. libbrotli 1.2.1 أو 1.1.1 أو 1.0.10. ثم أعد تشغيل الخدمات وأعد بناء صور الحاويات. المصادر: • إصدار أمني لـ Node.js (21 أكتوبر 2026): nodejs.org • سجل CVE (جوجل): cve.org • قاعدة بيانات الثغرات الأمنية الوطنية (NVD): nvd.nist.gov • إصدار Google Brotli v1.2.1: github.com/google/brotli/releases/tag/v1.2.1 • إشعار GitHub (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35 • إشعار Envoy: github.com/envoyproxy/envoy/security/advisories/G… • إصلاح Bun: bun#46352 و bun.com • ذا هاكر نيوز (22 أكتوبر): thehackernews.com • ذا هاكر نيوز (23 أكتوبر): thehackernews.com • ذا هاكر نيوز (24 أكتوبر): thehackernews.com • سايبر نيوز: cybernews.com مصادر الصور: • لقطات شاشة للصفحة: nodejs.org، The Hacker News، GitHub (google/brotli) • شعار Node.js عبر ويكيميديا كومنز (MIT) • شعار بايثون عبر ويكيميديا كومنز • شعار جوجل "G" عبر ويكيميديا كومنز • شعار Bun: bun.com (الشعار الرسمي) Node.js علامة تجارية لمؤسسة OpenJS. بايثون علامة تجارية لمؤسسة برمجيات بايثون. جوجل وBrotli علامتان تجاريتان لشركة جوجل. Bun وEnvoy علامتان تجاريتان لمالكيهما. استُخدمت هذه المعلومات لأغراض التعليق الإخباري. يستخدم هذا الفيديو القصير تقنية الذكاء الاصطناعي في التعليق الصوتي والتحرير. تم التحقق من الحقائق بالرجوع إلى المصادر المذكورة أعلاه. #NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts [bn] Node2Shell: গুগলের Brotli বাগ Node.js, Bun এবং Python-এ আঘাত হেনেছে (এখনই আপডেট করুন) গুগলের ব্রোটলি ডিকোডারের (CVE-2026-111497) একটি মেমরি বাগের কারণে বিশেষভাবে তৈরি করা কম্প্রেসড ডেটা একটি অ্যাপ ক্র্যাশ করতে, মেমরি লিক করতে অথবা আক্রমণকারীর কোড চালাতে পারে। নোড.জেএস (Node.js) ২১ অক্টোবর ২০২৬ তারিখে এটি ঠিক করেছে, এবং একই ডিকোডারটি বান (Bun), পাইথনের ব্রোটলি (Brotli) ও ব্রোটলিকএফএফআই (brotlicffi) প্যাকেজ এবং এনভয় (Envoy)-তেও রয়েছে। ইম্পারভা (Imperva)-র গবেষকরা, যারা এটিকে "নোডটুশেল" (Node2Shell) বলেন, একটি ল্যাব টেস্টে অফিসিয়াল নোড.জেএস বিল্ডে কোডটি চালিয়েছিলেন; বাস্তবে কোনো আক্রমণের খবর পাওয়া যায়নি। ওপেনএআই কোডেক্স সিকিউরিটি (OpenAI Codex Security)-র একটি দল এটি খুঁজে পায়, এবং কোনো সিকিউরিটি রিলিজ ছাড়াই ফেব্রুয়ারি মাস থেকে এর সমাধানটি ব্রোটলির সোর্স কোডে ছিল। এটি কি একটি সাধারণ ভুল, নাকি সমাধানটি ফেব্রুয়ারিতেই প্রকাশ করা উচিত ছিল? আপনার মতামত কমেন্ট করে জানান। আরও ভিডিওর জন্য লাইক এবং সাবস্ক্রাইব করুন। কী আপডেট করতে হবে: নোড.জেএস ২২.২৩.৪, ২৪.২২.১ অথবা ২৬.১২.১ (নোড.জেএস ২০ এবং এর আগের সংস্করণগুলোর জন্য কোনো সমাধান নেই)। Bun 1.4.4 বা নতুন সংস্করণ। Python: Brotli 1.2.1, brotlicffi 1.2.1.0। Envoy 1.40.0, 1.39.3, 1.38.6 বা 1.37.8। libbrotli 1.2.1, 1.1.1 বা 1.0.10। তারপর সার্ভিসগুলো রিস্টার্ট করুন এবং কন্টেইনার ইমেজগুলো রি-বিল্ড করুন। উৎসসমূহ: • Node.js নিরাপত্তা রিলিজ (২১ অক্টোবর ২০২৬): nodejs.org • CVE রেকর্ড (গুগল): cve.org • NVD: nvd.nist.gov • গুগল ব্রোটলি v1.2.1 রিলিজ: github.com/google/brotli/releases/tag/v1.2.1 • গিটহাব অ্যাডভাইজরি (পাইথন ব্রোটলি): advisories/GHSA-9v8h-qqgm-4m35 • এনভয় অ্যাডভাইজরি: github.com/envoyproxy/envoy/security/advisories/G… • Bun ফিক্স: bun#46352 এবং bun.com • দ্য হ্যাকার নিউজ (২২ অক্টোবর): thehackernews.com • দ্য হ্যাকার নিউজ (২৩ অক্টোবর): thehackernews.com • দ্য হ্যাকার নিউজ (২৪ অক্টোবর): thehackernews.com • সাইবারনিউজ: cybernews.com ছবির উৎস: • পেজের স্ক্রিনশট: nodejs.org, The Hacker News, GitHub (google/brotli) • উইকিমিডিয়া কমন্সের সৌজন্যে Node.js লোগো (MIT) • উইকিমিডিয়া কমন্সের সৌজন্যে Python লোগো • উইকিমিডিয়া কমন্সের সৌজন্যে Google "G" লোগো • Bun লোগো: bun.com (অফিসিয়াল লোগো) Node.js হলো OpenJS ফাউন্ডেশনের একটি ট্রেডমার্ক। Python হলো Python সফটওয়্যার ফাউন্ডেশনের একটি ট্রেডমার্ক। Google এবং Brotli হলো Google LLC-এর ট্রেডমার্ক। Bun এবং Envoy হলো তাদের নিজ নিজ মালিকদের ট্রেডমার্ক। সংবাদ ভাষ্যের জন্য ব্যবহৃত। এই শর্টটিতে একটি AI ভয়েস এবং AI-সহায়তায় সম্পাদনা ব্যবহার করা হয়েছে। উপরের উৎসগুলোর সাথে তথ্য যাচাই করা হয়েছে। #NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts [de-DE] Node2Shell: Googles Brotli-Bug trifft Node.js, Bun und Python (Jetzt updaten) Ein Speicherfehler im Brotli-Decoder von Google (CVE-2026-111497) ermöglicht es, durch manipulierte komprimierte Daten eine Anwendung zum Absturz zu bringen, Speicherlecks zu verursachen oder möglicherweise Schadcode auszuführen. Node.js hat den Fehler am 21. Oktober 2026 behoben. Derselbe Decoder ist auch in Bun, den Python-Paketen Brotli und brotlicffi sowie in Envoy enthalten. Forscher von Imperva, die ihn „Node2Shell“ nennen, testeten den Code in einem Labor mit einer offiziellen Node.js-Version. Bisher wurden keine Angriffe in freier Wildbahn gemeldet. Ein Sicherheitsteam des OpenAI Codex entdeckte den Fehler, und die Korrektur war seit Februar ohne Sicherheitsupdate im Quellcode von Brotli enthalten. War das ein Versehen, oder hätte die Korrektur bereits im Februar veröffentlicht werden sollen? Teilen Sie Ihre Meinung in den Kommentaren. Liken und abonnieren Sie für mehr. Zu aktualisierende Versionen: Node.js 22.23.4, 24.22.1 oder 26.12.1 (Node.js 20 und ältere Versionen erhalten keine Korrektur). Bun 1.4.4 oder neuer. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 oder 1.37.8. libbrotli 1.2.1, 1.1.1 oder 1.0.10. Starten Sie anschließend die Dienste neu und erstellen Sie die Container-Images neu. ... Quellen: • Node.js-Sicherheitsupdate (21. Oktober 2026): nodejs.org • CVE-Eintrag (Google): cve.org • NVD: nvd.nist.gov • Google Brotli v1.2.1: github.com/google/brotli/releases/tag/v1.2.1 • GitHub-Warnung (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35 • Envoy-Warnung: github.com/envoyproxy/envoy/security/advisories/G… • Bun-Fix: bun#46352 und bun.com • The Hacker News (22. Okt.): thehackernews.com • The Hacker News (23. Okt.): thehackernews.com • The Hacker News (24. Okt.): thehackernews.com • Cybernews: cybernews.com Bildnachweise: • Screenshots: nodejs.org, The Hacker News, GitHub (google/brotli) • Node.js-Logo via Wikimedia Commons (MIT) • Python-Logo via Wikimedia Commons • Google-„G“-Logo via Wikimedia Commons • Bun-Logo: bun.com (offizielles Logo) Node.js ist eine Marke der OpenJS Foundation. Python ist eine Marke der Python Software Foundation. Google und Brotli sind Marken von Google LLC. Bun und Envoy sind Marken ihrer jeweiligen Inhaber. Verwendung für Nachrichtenkommentare. Dieser Kurzbeitrag wurde mit KI-Stimme und KI-gestützter Bearbeitung erstellt. Die Fakten wurden anhand der oben genannten Quellen überprüft. #NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts [es-US] Node2Shell: El bug de Brotli de Google afecta a Node.js, Bun y Python (Actualiza ahora) Un fallo de memoria en el decodificador Brotli de Google (CVE-2026-111497) permite que datos comprimidos manipulados provoquen el bloqueo de una aplicación, fugas de memoria o incluso la ejecución de código malicioso. Node.js lo solucionó el 21 de octubre de 2026, y el mismo decodificador también se encuentra en Bun, los paquetes Brotli y brotlicffi de Python, y Envoy. Investigadores de Imperva, que lo denominan "Node2Shell", ejecutaron código en una compilación oficial de Node.js en una prueba de laboratorio; no se han reportado ataques en la práctica. Un equipo de seguridad de OpenAI Codex descubrió el fallo, y la solución permaneció en el código fuente de Brotli desde febrero sin una actualización de seguridad. ¿Fue un error honesto o debería haberse implementado la solución en febrero? Deja tu opinión en los comentarios. Dale a "Me gusta" y suscríbete para más contenido. Qué actualizar: Node.js 22.23.4, 24.22.1 o 26.12.1 (Node.js 20 y versiones anteriores no reciben corrección). Bun 1.4.4 o posterior. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 o 1.37.8. libbrotli 1.2.1, 1.1.1 o 1.0.10. Luego, reinicie los servicios y reconstruya las imágenes de los contenedores. Fuentes: • Comunicado de seguridad de Node.js (21 de octubre de 2026): nodejs.org • Registro CVE (Google): cve.org • NVD: nvd.nist.gov • Versión 1.2.1 de Google Brotli: github.com/google/brotli/releases/tag/v1.2.1 • Aviso de GitHub (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35 • Aviso de Envoy: github.com/envoyproxy/envoy/security/advisories/G… • Corrección de Bun: bun#46352 y bun.com • The Hacker News (22 de octubre): thehackernews.com • The Hacker News (23 de octubre): thehackernews.com • The Hacker News (24 de octubre): thehackernews.com • Cybernews: cybernews.com Créditos de las imágenes: • Capturas de pantalla de la página: nodejs.org, The Hacker News, GitHub (google/brotli) • Logotipo de Node.js vía Wikimedia Commons (MIT) • Logotipo de Python vía Wikimedia Commons • Logotipo de Google (la "G") vía Wikimedia Commons • Logotipo de Bun: bun.com (logotipo oficial) Node.js es una marca registrada de la OpenJS Foundation. Python es una marca registrada de la Python Software Foundation. Google y Brotli son marcas registradas de Google LLC. Bun y Envoy son marcas registradas de sus respectivos propietarios. Usadas para comentarios informativos. Este artículo breve utiliza voz generada por IA y edición asistida por IA. Los datos se verificaron con las fuentes mencionadas. #NodeJS #Ciberseguridad #Node2Shell #NoticiasTecnológicas #ArtículosBreves [fr-FR] Node2Shell : La faille Brotli de Google affecte Node.js, Bun et Python (Mise à jour disponible) Une faille de mémoire dans le décodeur Brotli de Google (CVE-2026-111497) permet à des données compressées spécialement conçues de provoquer le plantage d'une application, une fuite de mémoire, voire l'exécution de code malveillant. Node.js a corrigé cette faille le 21 octobre 2026. Ce même décodeur est également présent dans Bun, les packages Python Brotli et brotlicffi, ainsi que dans Envoy. Les chercheurs d'Imperva, qui la surnomment « Node2Shell », ont testé cette vulnérabilité sur une version officielle de Node.js en laboratoire ; aucune attaque n'a été signalée depuis. L'équipe de sécurité d'OpenAI Codex a découvert la faille, et le correctif était présent dans le code source de Brotli depuis février sans qu'une mise à jour de sécurité ne soit publiée. Simple erreur, ou ce correctif aurait-il dû être déployé dès février ? Donnez votre avis. Abonnez-vous pour plus de contenu. Mises à jour requises : Node.js 22.23.4, 24.22.1 ou 26.12.1 (Node.js 20 et versions antérieures ne sont pas concernées). Bun 1.4.4 ou version ultérieure. Python : Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 ou 1.37.8. libbrotli 1.2.1, 1.1.1 ou 1.0.10. Redémarrez ensuite les services et reconstruisez les images de conteneur. Sources : • Correctif de sécurité Node.js (21 oct. 2026) : nodejs.org • Fiche CVE (Google) : cve.org • NVD : nvd.nist.gov • Version 1.2.1 de Google Brotli : github.com/google/brotli/releases/tag/v1.2.1 • Avis de sécurité GitHub (Python Brotli) : advisories/GHSA-9v8h-qqgm-4m35 • Avis de sécurité Envoy : github.com/envoyproxy/envoy/security/advisories/G… • Correctif Bun : bun#46352 et bun.com • The Hacker News (22 oct.) : thehackernews.com • The Hacker News (23 oct.) : thehackernews.com • The Hacker News (24 oct.) : thehackernews.com • Cybernews : cybernews.com Crédits images : • Captures d’écran : nodejs.org, The Hacker News, GitHub (google/brotli) • Logo Node.js : Wikimedia Commons (MIT) • Logo Python : Wikimedia Commons • Logo « G » de Google : Wikimedia Commons • Logo Bun : bun.com (logo officiel) Node.js est une marque déposée de la Fondation OpenJS. Python est une marque déposée de la Fondation Python Software. Google et Brotli sont des marques déposées de Google LLC. Bun et Envoy sont des marques déposées de leurs propriétaires respectifs. Utilisé à des fins de commentaire. Ce court métrage utilise une voix de synthèse et un montage assisté par IA. Les faits ont été vérifiés à partir des sources ci-dessus. #NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts [hi] Node2Shell: गूगल का Brotli बग Node.js, Bun और Python को प्रभावित कर रहा है (अभी अपडेट करें) Google के Brotli डिकोडर में मौजूद मेमोरी बग (CVE-2026-111497) के कारण, संशोधित संपीड़ित डेटा किसी ऐप को क्रैश कर सकता है, मेमोरी लीक कर सकता है या संभवतः हमलावर का कोड चला सकता है। Node.js ने इसे 21 अक्टूबर 2026 को ठीक कर दिया था, और यही डिकोडर Bun, Python के Brotli और brotlicffi पैकेजों और Envoy में भी मौजूद है। Imperva के शोधकर्ताओं, जो इसे "Node2Shell" कहते हैं, ने एक लैब टेस्ट में आधिकारिक Node.js बिल्ड पर कोड चलाया; अभी तक किसी भी तरह के हमले की रिपोर्ट नहीं मिली है। OpenAI Codex सुरक्षा टीम ने इसे खोजा था, और यह फिक्स फरवरी से ही Brotli के सोर्स कोड में बिना किसी सुरक्षा रिलीज़ के मौजूद था। क्या यह एक चूक थी, या यह फिक्स फरवरी में ही जारी कर दिया जाना चाहिए था? अपनी राय कमेंट करें। अधिक जानकारी के लिए लाइक और सब्सक्राइब करें। क्या अपडेट करना है: Node.js 22.23.4, 24.22.1 या 26.12.1 (Node.js 20 और पुराने संस्करणों के लिए कोई समाधान नहीं है)। Bun 1.4.4 या नया संस्करण। Python: Brotli 1.2.1, brotlicffi 1.2.1.0। Envoy 1.40.0, 1.39.3, 1.38.6 या 1.37.8। libbrotli 1.2.1, 1.1.1 या 1.0.10। फिर सेवाओं को रीस्टार्ट करें और कंटेनर इमेज को रीबिल्ड करें। स्रोत: • Node.js सुरक्षा रिलीज़ (21 अक्टूबर 2026): nodejs.org • CVE रिकॉर्ड (Google): cve.org • NVD: nvd.nist.gov • Google Brotli v1.2.1 रिलीज़: github.com/google/brotli/releases/tag/v1.2.1 • GitHub एडवाइज़री (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35 • Envoy एडवाइज़री: github.com/envoyproxy/envoy/security/advisories/G… • Bun फिक्स: bun#46352 और bun.com • द हैकर न्यूज़ (22 अक्टूबर): thehackernews.com • द हैकर न्यूज़ (23 अक्टूबर): thehackernews.com • द हैकर न्यूज़ (24 अक्टूबर): thehackernews.com • साइबरन्यूज़: cybernews.com छवि क्रेडिट: • पृष्ठ स्क्रीनशॉट: nodejs.org, द हैकर न्यूज़, GitHub (google/brotli) • Node.js लोगो विकिमीडिया कॉमन्स (MIT) के माध्यम से • Python लोगो विकिमीडिया कॉमन्स के माध्यम से • Google "G" लोगो विकिमीडिया कॉमन्स के माध्यम से • Bun लोगो: bun.com (आधिकारिक लोगो) Node.js ओपनजेएस फाउंडेशन का ट्रेडमार्क है। Python, Python सॉफ्टवेयर फाउंडेशन का ट्रेडमार्क है। Google और Brotli, Google LLC के ट्रेडमार्क हैं। Bun और Envoy, उनके स्वामियों के ट्रेडमार्क हैं। समाचार टिप्पणी के लिए उपयोग किया गया। इस लघु वीडियो में कृत्रिम आवाज और कृत्रिम संपादन का उपयोग किया गया है। तथ्यों की जांच उपरोक्त स्रोतों से की गई है। #NodeJS #साइबरसुरक्षा #Node2Shell #तकनीकीसमाचार #शॉर्ट्स [id] Node2Shell: Bug Brotli Google Menyerang Node.js, Bun, dan Python (Segera Perbarui) Sebuah celah keamanan memori pada decoder Brotli milik Google (CVE-2026-111497) memungkinkan data terkompresi yang dibuat khusus untuk menyebabkan aplikasi crash, kebocoran memori, atau bahkan menjalankan kode penyerang. Node.js memperbaikinya pada 21 Oktober 2026, dan decoder yang sama juga terdapat di Bun, paket Python Brotli dan brotlicffi, serta Envoy. Peneliti Imperva, yang menyebutnya "Node2Shell", menjalankan kode pada build Node.js resmi dalam uji laboratorium; belum ada serangan yang dilaporkan di lapangan. Tim Keamanan OpenAI Codex menemukannya, dan perbaikan tersebut telah ada di kode sumber Brotli sejak Februari tanpa rilis keamanan. Kesalahan yang jujur, atau seharusnya perbaikan tersebut sudah dirilis sejak Februari? Berikan pendapat Anda. Sukai dan berlangganan untuk informasi lebih lanjut. Yang perlu diperbarui: Node.js 22.23.4, 24.22.1 atau 26.12.1 (Node.js 20 dan yang lebih lama tidak mendapatkan perbaikan). Bun 1.4.4 atau yang lebih baru. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 atau 1.37.8. libbrotli 1.2.1, 1.1.1 atau 1.0.10. Kemudian mulai ulang layanan dan bangun ulang citra kontainer. Sumber: • Rilis keamanan Node.js (21 Oktober 2026): nodejs.org • Catatan CVE (Google): cve.org • NVD: nvd.nist.gov • Rilis Google Brotli v1.2.1: github.com/google/brotli/releases/tag/v1.2.1 • Pemberitahuan GitHub (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35 • Pemberitahuan Envoy: github.com/envoyproxy/envoy/security/advisories/G… • Perbaikan Bun: bun#46352 dan bun.com • The Hacker News (22 Okt): thehackernews.com • The Hacker News (23 Okt): thehackernews.com • The Hacker News (24 Okt): thehackernews.com • Berita Siber: cybernews.com Sumber gambar: • Tangkapan layar halaman: nodejs.org, The Hacker News, GitHub (google/brotli) • Logo Node.js melalui Wikimedia Commons (MIT) • Logo Python melalui Wikimedia Commons • Logo Google "G" melalui Wikimedia Commons • Logo Bun: bun.com (logo resmi) Node.js adalah merek dagang dari OpenJS Foundation. Python adalah merek dagang dari Python Software Foundation. Google dan Brotli adalah merek dagang dari Google LLC. Bun dan Envoy adalah merek dagang dari pemiliknya. Digunakan untuk komentar berita. Video pendek ini menggunakan suara AI dan pengeditan yang dibantu AI. Fakta diperiksa terhadap sumber di atas. #NodeJS #KeamananSiber #Node2Shell #BeritaTeknologi #VideoPendek [it] Node2Shell: il bug di Brotli di Google colpisce Node.js, Bun e Python (Aggiorna ora) Un bug di memoria nel decoder Brotli di Google (CVE-2026-111497) permette a dati compressi appositamente creati di causare il crash di un'applicazione, perdite di memoria o potenzialmente l'esecuzione di codice malevolo. Node.js lo ha corretto il 21 ottobre 2026 e lo stesso decoder è presente anche in Bun, nei pacchetti Python Brotli e brotlicffi e in Envoy. I ricercatori di Imperva, che lo chiamano "Node2Shell", hanno eseguito del codice su una build ufficiale di Node.js in un test di laboratorio; non sono stati segnalati attacchi reali. Un team di sicurezza di OpenAI Codex lo ha scoperto e la correzione era presente nel codice sorgente di Brotli da febbraio senza essere stata rilasciata in una versione di sicurezza. Si tratta di una svista in buona fede o la correzione avrebbe dovuto essere rilasciata a febbraio? Commentate e dite la vostra. Mettete "Mi piace" e iscrivetevi per altri contenuti. Cosa aggiornare: Node.js 22.23.4, 24.22.1 o 26.12.1 (Node.js 20 e versioni precedenti non riceveranno la correzione). Bun 1.4.4 o versioni successive. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 o 1.37.8. libbrotli 1.2.1, 1.1.1 o 1.0.10. Quindi riavviare i servizi e ricreare le immagini dei container. Fonti: • Aggiornamento di sicurezza di Node.js (21 ottobre 2026): nodejs.org • Record CVE (Google): cve.org • NVD: nvd.nist.gov • Rilascio di Google Brotli v1.2.1: github.com/google/brotli/releases/tag/v1.2.1 • Avviso di sicurezza di GitHub (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35 • Avviso di sicurezza di Envoy: Italiano: github.com/envoyproxy/envoy/security/advisories/G… • Correzione di Bun: bun#46352 e bun.com • The Hacker News (22 ottobre): thehackernews.com • The Hacker News (23 ottobre): thehackernews.com • The Hacker News (24 ottobre): thehackernews.com • Cybernews: Italiano: cybernews.com Crediti immagini: • Screenshot della pagina: nodejs.org, The Hacker News, GitHub (google/brotli) • Logo Node.js tramite Wikimedia Commons (MIT) • Logo Python tramite Wikimedia Commons • Logo "G" di Google tramite Wikimedia Commons • Logo Bun: bun.com (logo ufficiale) Node.js è un marchio registrato della OpenJS Foundation. Python è un marchio registrato della Python Software Foundation. Google e Brotli sono marchi registrati di Google LLC. Bun e Envoy sono marchi registrati dei rispettivi proprietari. Utilizzati per commenti alle notizie. Questo breve video utilizza una voce AI e un editing assistito dall'IA. I fatti sono stati verificati con le fonti sopra indicate. #NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts [iw] Node2Shell: באג ה-Brotli של גוגל פוגע ב-Node.js, ב-Bun ובפייתון (עדכנו עכשיו) באג זיכרון במפענח Brotli של גוגל (CVE-2026-111497) מאפשר לנתונים דחוסים שנוצרו לקרוס אפליקציה, לדלוף זיכרון או אולי להריץ קוד של תוקף. Node.js תיקן אותו ב-21 באוקטובר 2026, ואותו מפענח נמצא גם ב-Bun, בחבילות Python Brotli ו-brotlicffi, וב-Envoy. חוקרי Imperva, המכנים אותו "Node2Shell", הרצו קוד על מבנה רשמי של Node.js בבדיקת מעבדה; לא דווח על התקפות בשטח. צוות אבטחת Codex של OpenAI מצא אותו, והתיקון ישב בקוד המקור של Brotli מאז פברואר ללא מהדורת אבטחה. טעות כנה, או שהתיקון הזה היה צריך להישלח בפברואר? הגיבו מהצד שלכם. לייק והירשמו לעוד. מה לעדכן: Node.js 22.23.4, 24.22.1 או 26.12.1 (Node.js 20 ומעלה לא מקבלים תיקון). Bun 1.4.4 או גרסה חדשה יותר. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 או 1.37.8. libbrotli 1.2.1, 1.1.1 או 1.0.10. לאחר מכן, הפעל מחדש את השירותים ובנה מחדש תמונות של המכולה. מקורות: • גרסת אבטחה של Node.js (21 באוקטובר 2026): nodejs.org • רשומת CVE (גוגל): cve.org • NVD: nvd.nist.gov • גרסת Google Brotli גרסה 1.2.1: github.com/google/brotli/releases/tag/v1.2.1 • ייעוץ GitHub (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35 • ייעוץ Envoy: github.com/envoyproxy/envoy/security/advisories/G… • תיקון Bun: bun#46352 ו- bun.com • חדשות ההאקרים (22 באוקטובר): thehackernews.com • חדשות ההאקרים (23 באוקטובר): thehackernews.com • חדשות ההאקרים (24 באוקטובר): thehackernews.com • חדשות סייבר: cybernews.com קרדיטים לתמונה: • צילומי מסך של הדף: nodejs.org, The Hacker News, GitHub (google/brotli) • לוגו Node.js דרך Wikimedia Commons (MIT) • לוגו Python דרך Wikimedia Commons • לוגו "G" של גוגל דרך Wikimedia Commons • לוגו Bun: bun.com (לוגו רשמי) Node.js הוא סימן מסחרי של OpenJS Foundation. Python הוא סימן מסחרי של Python Software Foundation. Google ו-Brotli הם סימנים מסחריים של Google LLC. Bun ו-Envoy הם סימנים מסחריים של בעליהם. משמשים לפרשנות חדשותית. סרטון קצר זה משתמש בקול בינה מלאכותית ובעריכה בסיוע בינה מלאכותית. העובדות נבדקו מול המקורות לעיל. #NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts [ja] Node2Shell：GoogleのBrotliライブラリの脆弱性がNode.js、Bun、Pythonに影響（今すぐアップデートを） GoogleのBrotliデコーダーに存在するメモリバグ（CVE-2026-111497）により、細工された圧縮データによってアプリがクラッシュしたり、メモリリークが発生したり、攻撃者のコードが実行されたりする可能性があります。Node.jsは2026年10月21日にこのバグを修正しましたが、同じデコーダーはBun、PythonのBrotliおよびbrotlicffiパッケージ、そしてEnvoyにも含まれています。Impervaの研究者たちは、このバグを「Node2Shell」と呼び、ラボテストで公式のNode.jsビルドに対してコードを実行しました。実際の攻撃は報告されていません。OpenAI Codex Securityチームがこのバグを発見し、修正は2月からBrotliのソースコードにセキュリティリリースなしで含まれていました。 これは見落としでしょうか？それとも2月に修正をリリースすべきだったのでしょうか？ご意見をお聞かせください。いいねとチャンネル登録をお願いします。 アップデート対象：Node.js 22.23.4、24.22.1、または26.12.1（Node.js 20以前のバージョンには修正は適用されません）。 Bun 1.4.4 以降。Python: Brotli 1.2.1、brotlicffi 1.2.1.0。Envoy 1.40.0、1.39.3、1.38.6、または 1.37.8。libbrotli 1.2.1、1.1.1、または 1.0.10。その後、サービスを再起動し、コンテナイメージを再構築してください。 情報源： • Node.js セキュリティリリース（2026年10月21日）：nodejs.org • CVE レコード（Google）：cve.org • NVD：nvd.nist.gov • Google Brotli v1.2.1 リリース：github.com/google/brotli/releases/tag/v1.2.1 • GitHub アドバイザリ（Python Brotli）：advisories/GHSA-9v8h-qqgm-4m35 • Envoy アドバイザリ： github.com/envoyproxy/envoy/security/advisories/G… • Bunの修正: bun#46352 および bun.com • The Hacker News (10月22日): thehackernews.com • The Hacker News (10月23日): thehackernews.com • The Hacker News (10月24日): thehackernews.com • Cybernews: cybernews.com 画像クレジット： • ページスクリーンショット：nodejs.org、The Hacker News、GitHub（google/brotli） • Node.jsロゴ：Wikimedia Commons（MIT） • Pythonロゴ：Wikimedia Commons • Google「G」ロゴ：Wikimedia Commons • Bunロゴ：bun.com（公式ロゴ） Node.jsはOpenJS Foundationの商標です。PythonはPython Software Foundationの商標です。GoogleおよびBrotliはGoogle LLCの商標です。BunおよびEnvoyはそれぞれの所有者の商標です。ニュース解説のために使用しています。 このショート動画はAI音声とAIによる編集を使用しています。事実確認は上記の情報源に基づいて行っています。 #NodeJS #サイバーセキュリティ #Node2Shell #テクノロジーニュース #ショート動画 [ko] Node2Shell: 구글 Brotli 버그, Node.js, Bun 및 Python 강타 (지금 업데이트하세요) Google의 Brotli 디코더에서 발견된 메모리 버그(CVE-2026-111497)로 인해 조작된 압축 데이터가 앱을 충돌시키거나 메모리 누수를 일으키거나 공격자의 코드를 실행할 수 있습니다. Node.js는 2026년 10월 21일에 이 버그를 수정했으며, 동일한 디코더는 Bun, Python의 Brotli 및 brotlicffi 패키지, 그리고 Envoy에도 포함되어 있습니다. Imperva 연구진은 "Node2Shell"이라는 이름으로 공식 Node.js 빌드에서 테스트 코드를 실행해 보았지만, 실제 공격 사례는 보고되지 않았습니다. 이 버그는 OpenAI Codex 보안 팀에서 발견했으며, 수정 사항은 2월부터 Brotli 소스 코드에 포함되어 있었지만 보안 릴리스에는 포함되지 않았습니다. 이것이 실수였을까요, 아니면 2월에 수정 사항이 배포되었어야 했을까요? 여러분의 의견을 댓글로 남겨주세요. 더 많은 정보를 원하시면 좋아요와 구독을 부탁드립니다. 업데이트 대상: Node.js 22.23.4, 24.22.1 또는 26.12.1 (Node.js 20 이하 버전에는 수정 사항이 적용되지 않습니다.) Bun 1.4.4 이상. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 또는 1.37.8. libbrotli 1.2.1, 1.1.1 또는 1.0.10. 그런 다음 서비스를 재시작하고 컨테이너 이미지를 다시 빌드하십시오. 출처: • Node.js 보안 릴리스(2026년 10월 21일): nodejs.org • CVE 기록(Google): cve.org • NVD: nvd.nist.gov • Google Brotli v1.2.1 릴리스: github.com/google/brotli/releases/tag/v1.2.1 • GitHub 권고(Python Brotli): advisories/GHSA-9v8h-qqgm-4m35 • Envoy 권고: github.com/envoyproxy/envoy/security/advisories/G… • Bun 수정 사항: bun#46352 및 bun.com • The Hacker News (10월 22일): thehackernews.com • The Hacker News (10월 23일): thehackernews.com • The Hacker News (10월 24일): thehackernews.com • Cybernews: cybernews.com 이미지 출처: • 페이지 스크린샷: nodejs.org, The Hacker News, GitHub (google/brotli) • Node.js 로고: Wikimedia Commons (MIT) • Python 로고: Wikimedia Commons • Google "G" 로고: Wikimedia Commons • Bun 로고: bun.com (공식 로고) Node.js는 OpenJS Foundation의 상표입니다. Python은 Python Software Foundation의 상표입니다. Google 및 Brotli는 Google LLC의 상표입니다. Bun 및 Envoy는 해당 소유자의 상표입니다. 뉴스 해설에 사용되었습니다. 본 Short는 AI 음성 및 AI 기반 편집을 사용했습니다. 위의 출처를 통해 사실 확인을 완료했습니다. #NodeJS #사이버보안 #Node2Shell #기술뉴스 #Shorts [ml] Node2Shell: Google-ന്റെ Brotli ബഗ് Node.js, Bun, Python എന്നിവയെ ബാധിക്കുന്നു (ഉടൻ അപ്ഡേറ്റ് ചെയ... ഗൂഗിളിന്റെ ബ്രോട്ട്ലി ഡീകോഡറിലെ (CVE-2026-111497) ഒരു മെമ്മറി ബഗ്, ക്രാഫ്റ്റ് ചെയ്ത കംപ്രസ് ചെയ്ത ഡാറ്റ ഒരു ആപ്പിനെ ക്രാഷ് ചെയ്യാനോ, മെമ്മറി ചോർത്താനോ അല്ലെങ്കിൽ ഒരു ആക്രമണകാരിയുടെ കോഡ് പ്രവർത്തിപ്പിക്കാനോ അനുവദിക്കുന്നു. 2026 ഒക്ടോബർ 21-ന് Node.js ഇത് പരിഹരിച്ചു, അതേ ഡീകോഡർ ബൺ, പൈത്തൺ ബ്രോട്ട്ലി, ബ്രോട്ട്ലിഫി പാക്കേജുകൾ, എൻവോയ് എന്നിവയിലും ഉണ്ട്. ഇതിനെ "Node2Shell" എന്ന് വിളിക്കുന്ന ഇംപെർവ ഗവേഷകർ, ഒരു ലാബ് പരിശോധനയിൽ Node.js ന്റെ ഔദ്യോഗിക ബിൽഡിൽ കോഡ് റൺ ചെയ്തു; വൈൽഡിൽ ഒരു ആക്രമണവും റിപ്പോർട്ട് ചെയ്തിട്ടില്ല. ഒരു OpenAI കോഡെക്സ് സെക്യൂരിറ്റി ടീം ഇത് കണ്ടെത്തി, ഫെബ്രുവരി മുതൽ സുരക്ഷാ റിലീസ് ഇല്ലാതെ ബ്രോട്ട്ലിയുടെ സോഴ്സ് കോഡിൽ ഈ പരിഹാരം ഉണ്ടായിരുന്നു. ശരിക്കും മിസ്, അല്ലെങ്കിൽ ആ പരിഹാരം ഫെബ്രുവരിയിൽ തിരികെ അയച്ചിരിക്കണമോ? നിങ്ങളുടെ ഭാഗത്ത് അഭിപ്രായം രേഖപ്പെടുത്തുക. കൂടുതലറിയാൻ ലൈക്ക് ചെയ്ത് സബ്സ്ക്രൈബ് ചെയ്യുക. എന്താണ് അപ്ഡേറ്റ് ചെയ്യേണ്ടത്: Node.js 22.23.4, 24.22.1 അല്ലെങ്കിൽ 26.12.1 (Node.js 20 ഉം അതിനുമുകളിലും പഴയവയ്ക്ക് പരിഹാരമില്ല). ബൺ 1.4.4 അല്ലെങ്കിൽ പുതിയത്. പൈത്തൺ: ബ്രോട്ട്ലി 1.2.1, ബ്രോട്ട്ലിഫി 1.2.1.0. എൻവോയ് 1.40.0, 1.39.3, 1.38.6 അല്ലെങ്കിൽ 1.37.8. ലിബ്ബ്രോട്ട്ലി 1.2.1, 1.1.1 അല്ലെങ്കിൽ 1.0.10. തുടർന്ന് സേവനങ്ങൾ പുനരാരംഭിച്ച് കണ്ടെയ്നർ ഇമേജുകൾ പുനർനിർമ്മിക്കുക. ഉറവിടങ്ങൾ: • Node.js സുരക്ഷാ റിലീസ് (21 ഒക്ടോബർ 2026): nodejs.org • CVE റെക്കോർഡ് (Google): cve.org • NVD: nvd.nist.gov • Google Brotli v1.2.1 റിലീസ്: github.com/google/brotli/releases/tag/v1.2.1 • GitHub ഉപദേശം (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35 • എൻവോയ് ഉപദേശം: github.com/envoyproxy/envoy/security/advisories/G… • ബൺ ഫിക്സ്: bun#46352 ഉം bun.com ദി ഹാക്കർ ന്യൂസ് (22 ഒക്ടോബർ): thehackernews.com • ദി ഹാക്കർ ന്യൂസ് (23 ഒക്ടോബർ): thehackernews.com • ദി ഹാക്കർ ന്യൂസ് (24 ഒക്ടോബർ): thehackernews.com • സൈബർ ന്യൂസ്: cybernews.com ചിത്ര ക്രെഡിറ്റുകൾ: • പേജ് സ്ക്രീൻഷോട്ടുകൾ: nodejs.org, The Hacker News, GitHub (google/brotli) • വിക്കിമീഡിയ കോമൺസ് (MIT) വഴി Node.js ലോഗോ • വിക്കിമീഡിയ കോമൺസ് വഴി പൈത്തൺ ലോഗോ • വിക്കിമീഡിയ കോമൺസ് വഴി Google "G" ലോഗോ • ബൺ ലോഗോ: bun.com (ഔദ്യോഗിക ലോഗോ) ഓപ്പൺജെഎസ് ഫൗണ്ടേഷന്റെ ഒരു വ്യാപാരമുദ്രയാണ് നോഡ്.ജെഎസ്. പൈത്തൺ സോഫ്റ്റ്വെയർ ഫൗണ്ടേഷന്റെ ഒരു വ്യാപാരമുദ്രയാണ്. ഗൂഗിളും ബ്രോട്ട്ലിയും ഗൂഗിൾ എൽഎൽസിയുടെ വ്യാപാരമുദ്രകളാണ്. ബണും എൻവോയും അവയുടെ ഉടമസ്ഥരുടെ വ്യാപാരമുദ്രകളാണ്. വാർത്താ വ്യാഖ്യാനത്തിനായി ഉപയോഗിക്കുന്നു. ഈ ഷോർട്ട് ഒരു AI വോയ്സും AI- സഹായത്തോടെയുള്ള എഡിറ്റിംഗും ഉപയോഗിക്കുന്നു. മുകളിലുള്ള ഉറവിടങ്ങളുമായി വസ്തുതകൾ പരിശോധിച്ചു. #NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts [nl-NL] Node2Shell: Google's Brotli-bug treft Node.js, Bun en Python (Update nu) Een geheugenbug in Google's Brotli-decoder (CVE-2026-111497) zorgt ervoor dat gecomprimeerde data een app kan laten crashen, geheugen kan lekken of mogelijk code van een aanvaller kan uitvoeren. Node.js heeft dit op 21 oktober 2026 verholpen, en dezelfde decoder is ook te vinden in Bun, de Python-pakketten Brotli en brotlicffi, en Envoy. Onderzoekers van Imperva, die het "Node2Shell" noemen, hebben code uitgevoerd op een officiële Node.js-build in een labtest; er zijn geen aanvallen in de praktijk gemeld. Een beveiligingsteam van OpenAI Codex ontdekte de bug, en de fix zat sinds februari in de broncode van Brotli zonder een officiële beveiligingsupdate. Eerlijk gezegd, of had deze fix al in februari uitgebracht moeten worden? Laat je mening achter in de reacties. Like en abonneer voor meer. Wat te updaten: Node.js 22.23.4, 24.22.1 of 26.12.1 (Node.js 20 en ouder krijgen geen fix). Bun 1.4.4 of nieuwer. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 of 1.37.8. libbrotli 1.2.1, 1.1.1 of 1.0.10. Start vervolgens de services opnieuw en bouw de containerimages opnieuw. Bronnen: • Beveiligingsupdate Node.js (21 oktober 2026): nodejs.org • CVE-record (Google): cve.org • NVD: nvd.nist.gov • Google Brotli v1.2.1 release: github.com/google/brotli/releases/tag/v1.2.1 • GitHub-advies (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35 • Envoy-advies: github.com/envoyproxy/envoy/security/advisories/G… • Bun-fix: bun#46352 en bun.com • The Hacker News (22 okt): thehackernews.com • The Hacker News (23 okt): thehackernews.com • The Hacker News (24 okt): thehackernews.com • Cybernews: cybernews.com Afbeeldingscredits: • Screenshots van pagina's: nodejs.org, The Hacker News, GitHub (google/brotli) • Node.js-logo via Wikimedia Commons (MIT) • Python-logo via Wikimedia Commons • Google "G"-logo via Wikimedia Commons • Bun-logo: bun.com (officieel logo) Node.js is een handelsmerk van de OpenJS Foundation. Python is een handelsmerk van de Python Software Foundation. Google en Brotli zijn handelsmerken van Google LLC. Bun en Envoy zijn handelsmerken van hun respectievelijke eigenaren. Gebruikt voor nieuwscommentaar. Deze Short maakt gebruik van een AI-stem en AI-ondersteunde bewerking. Feiten gecontroleerd aan de hand van de bovenstaande bronnen. #NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts [pa] Node2Shell: Google ਦਾ Brotli ਬੱਗ Node.js, Bun ਅਤੇ Python ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰ ਰਿਹਾ ਹੈ (ਹੁਣੇ ਅਪਡੇਟ ਕਰੋ) ਗੂਗਲ ਦੇ ਬ੍ਰੋਟਲੀ ਡੀਕੋਡਰ (CVE-2026-111497) ਵਿੱਚ ਇੱਕ ਮੈਮੋਰੀ ਬੱਗ ਤਿਆਰ ਕੀਤੇ ਸੰਕੁਚਿਤ ਡੇਟਾ ਨੂੰ ਇੱਕ ਐਪ ਨੂੰ ਕਰੈਸ਼ ਕਰਨ, ਮੈਮੋਰੀ ਲੀਕ ਕਰਨ ਜਾਂ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਹਮਲਾਵਰ ਦੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਦਿੰਦਾ ਹੈ। Node.js ਨੇ ਇਸਨੂੰ 21 ਅਕਤੂਬਰ 2026 ਨੂੰ ਠੀਕ ਕੀਤਾ, ਅਤੇ ਉਹੀ ਡੀਕੋਡਰ ਬਨ, ਪਾਈਥਨ ਬ੍ਰੋਟਲੀ ਅਤੇ ਬ੍ਰੋਟਲੀਕਫੀ ਪੈਕੇਜਾਂ, ਅਤੇ ਐਂਵੋਏ ਵਿੱਚ ਵੀ ਬੈਠਦਾ ਹੈ। Imperva ਖੋਜਕਰਤਾ, ਜੋ ਇਸਨੂੰ "Node2Shell" ਕਹਿੰਦੇ ਹਨ, ਨੇ ਇੱਕ ਲੈਬ ਟੈਸਟ ਵਿੱਚ ਇੱਕ ਅਧਿਕਾਰਤ Node.js ਬਿਲਡ 'ਤੇ ਕੋਡ ਚਲਾਇਆ; ਜੰਗਲੀ ਵਿੱਚ ਕੋਈ ਵੀ ਹਮਲਾ ਰਿਪੋਰਟ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ। ਇੱਕ OpenAI ਕੋਡੈਕਸ ਸੁਰੱਖਿਆ ਟੀਮ ਨੇ ਇਸਨੂੰ ਲੱਭ ਲਿਆ, ਅਤੇ ਫਿਕਸ ਫਰਵਰੀ ਤੋਂ ਸੁਰੱਖਿਆ ਰੀਲੀਜ਼ ਤੋਂ ਬਿਨਾਂ ਬ੍ਰੋਟਲੀ ਦੇ ਸਰੋਤ ਕੋਡ ਵਿੱਚ ਬੈਠ ਗਿਆ। ਇਮਾਨਦਾਰ ਮਿਸ, ਜਾਂ ਕੀ ਉਹ ਫਿਕਸ ਫਰਵਰੀ ਵਿੱਚ ਵਾਪਸ ਭੇਜ ਦਿੱਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਸੀ? ਆਪਣੀ ਗੱਲ 'ਤੇ ਟਿੱਪਣੀ ਕਰੋ। ਹੋਰ ਲਈ ਪਸੰਦ ਕਰੋ ਅਤੇ ਗਾਹਕ ਬਣੋ। ਕੀ ਅੱਪਡੇਟ ਕਰਨਾ ਹੈ: Node.js 22.23.4, 24.22.1 ਜਾਂ 26.12.1 (Node.js 20 ਅਤੇ ਪੁਰਾਣੇ ਨੂੰ ਕੋਈ ਹੱਲ ਨਹੀਂ ਮਿਲਦਾ)। Bun 1.4.4 ਜਾਂ ਨਵਾਂ। Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 ਜਾਂ 1.37.8. libbrotli 1.2.1, 1.1.1 ਜਾਂ 1.0.10। ਫਿਰ ਸੇਵਾਵਾਂ ਨੂੰ ਮੁੜ ਚਾਲੂ ਕਰੋ ਅਤੇ ਕੰਟੇਨਰ ਚਿੱਤਰਾਂ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਓ। ਸਰੋਤ: • Node.js ਸੁਰੱਖਿਆ ਰਿਲੀਜ਼ (21 ਅਕਤੂਬਰ 2026): nodejs.org • CVE ਰਿਕਾਰਡ (Google): cve.org • NVD: nvd.nist.gov • Google Brotli v1.2.1 ਰਿਲੀਜ਼: github.com/google/brotli/releases/tag/v1.2.1 • GitHub ਸਲਾਹਕਾਰ (ਪਾਈਥਨ ਬ੍ਰੋਟਲੀ): advisories/GHSA-9v8h-qqgm-4m35 • ਦੂਤ ਸਲਾਹਕਾਰ: github.com/envoyproxy/envoy/security/advisories/G… • ਬਨ ਫਿਕਸ: bun#46352 ਅਤੇ bun.com • ਦ ਹੈਕਰ ਨਿਊਜ਼ (22 ਅਕਤੂਬਰ): thehackernews.com • ਦ ਹੈਕਰ ਨਿਊਜ਼ (23 ਅਕਤੂਬਰ): thehackernews.com • ਦ ਹੈਕਰ ਨਿਊਜ਼ (24 ਅਕਤੂਬਰ): thehackernews.com • ਸਾਈਬਰ ਨਿਊਜ਼: cybernews.com ਚਿੱਤਰ ਕ੍ਰੈਡਿਟ: • ਪੰਨੇ ਦੇ ਸਕ੍ਰੀਨਸ਼ਾਟ: nodejs.org, The Hacker News, GitHub (google/brotli) • Node.js ਲੋਗੋ ਵਿਕੀਮੀਡੀਆ ਕਾਮਨਜ਼ (MIT) ਰਾਹੀਂ • ਪਾਈਥਨ ਲੋਗੋ ਵਿਕੀਮੀਡੀਆ ਕਾਮਨਜ਼ ਰਾਹੀਂ • ਗੂਗਲ "G" ਲੋਗੋ ਵਿਕੀਮੀਡੀਆ ਕਾਮਨਜ਼ ਰਾਹੀਂ • ਬਨ ਲੋਗੋ: bun.com (ਅਧਿਕਾਰਤ ਲੋਗੋ) Node.js ਓਪਨਜੇਐਸ ਫਾਊਂਡੇਸ਼ਨ ਦਾ ਟ੍ਰੇਡਮਾਰਕ ਹੈ। ਪਾਈਥਨ ਪਾਈਥਨ ਸੌਫਟਵੇਅਰ ਫਾਊਂਡੇਸ਼ਨ ਦਾ ਟ੍ਰੇਡਮਾਰਕ ਹੈ। ਗੂਗਲ ਅਤੇ ਬ੍ਰੋਟਲੀ ਗੂਗਲ ਐਲਐਲਸੀ ਦੇ ਟ੍ਰੇਡਮਾਰਕ ਹਨ। ਬਨ ਅਤੇ ਐਂਵੋਏ ਉਨ੍ਹਾਂ ਦੇ ਮਾਲਕਾਂ ਦੇ ਟ੍ਰੇਡਮਾਰਕ ਹਨ। ਖ਼ਬਰਾਂ ਦੀ ਟਿੱਪਣੀ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਇਹ ਛੋਟਾ ਇੱਕ AI ਵੌਇਸ ਅਤੇ AI-ਸਹਾਇਤਾ ਪ੍ਰਾਪਤ ਸੰਪਾਦਨ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ। ਉਪਰੋਕਤ ਸਰੋਤਾਂ ਦੇ ਵਿਰੁੱਧ ਜਾਂਚੇ ਗਏ ਤੱਥ। #NodeJS #CyberSecurity #Node2Shell #TechNews #Shorts [pl] Node2Shell: Błąd w dekoderze Brotli od Google dotyka Node.js, Bun i Python (Zaktualizuj teraz) Błąd pamięci w dekoderze Brotli firmy Google (CVE-2026-111497) umożliwia zmodyfikowanym skompresowanym danym awarię aplikacji, wyciek pamięci lub uruchomienie kodu atakującego. Node.js naprawił ten błąd 21 października 2026 roku, a ten sam dekoder znajduje się również w Bun, pakietach Brotli i brotlicffi dla Pythona oraz Envoy. Badacze z Imperva, nazywający to „Node2Shell”, uruchomili kod w oficjalnej kompilacji Node.js w ramach testów laboratoryjnych; nie zgłoszono żadnych ataków w środowisku rzeczywistym. Zespół ds. bezpieczeństwa OpenAI Codex znalazł błąd, a poprawka znajdowała się w kodzie źródłowym Brotli od lutego bez wydania wersji bezpieczeństwa. Szczerze przeoczyłeś, czy ta poprawka powinna zostać udostępniona już w lutym? Skomentuj swoją opinię. Polub i zasubskrybuj, aby otrzymywać więcej informacji. Co zaktualizować: Node.js 22.23.4, 24.22.1 lub 26.12.1 (Node.js 20 i starsze nie otrzymują poprawki). Bun 1.4.4 lub nowszy. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 lub 1.37.8. libbrotli 1.2.1, 1.1.1 lub 1.0.10. Następnie uruchom ponownie usługi i przebuduj obrazy kontenerów. Źródła: • Wydanie zabezpieczeń Node.js (21 października 2026 r.): nodejs.org • Rekord CVE (Google): cve.org • NVD: nvd.nist.gov • Wydanie Google Brotli v1.2.1: github.com/google/brotli/releases/tag/v1.2.1 • Poradnik GitHub (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35 • Poradnik Envoy: github.com/envoyproxy/envoy/security/advisories/G… • Poprawka Bun: bun#46352 i bun.com • The Hacker News (22 października): thehackernews.com • The Hacker News (23 października): thehackernews.com • The Hacker News (24 października): thehackernews.com • Cybernews: cybernews.com Źródła obrazów: • Zrzuty ekranu strony: nodejs.org, The Hacker News, GitHub (google/brotli) • Logo Node.js za pośrednictwem Wikimedia Commons (MIT) • Logo Pythona za pośrednictwem Wikimedia Commons • Logo Google „G” za pośrednictwem Wikimedia Commons • Logo Bun: bun.com (oficjalne logo) Node.js jest znakiem towarowym OpenJS Foundation. Python jest znakiem towarowym Python Software Foundation. Google i Brotli są znakami towarowymi Google LLC. Bun i Envoy są znakami towarowymi ich właścicieli. Wykorzystano w komentarzach prasowych. W tym krótkim filmie zastosowano głos sztucznej inteligencji (AI) i edycję wspomaganą przez AI. Informacje zweryfikowano na podstawie powyższych źródeł. #NodeJS #CyberBezpieczeństwo #Node2Shell #TechNews #Shorts [pt-BR] Node2Shell: Falha no Brotli do Google afeta Node.js, Bun e Python (Atualize Agora) Uma falha de memória no decodificador Brotli do Google (CVE-2026-111497) permite que dados comprimidos maliciosos causem a falha de um aplicativo, vazamento de memória ou possivelmente a execução de código malicioso. O Node.js corrigiu a vulnerabilidade em 21 de outubro de 2026, e o mesmo decodificador também está presente no Bun, nos pacotes Python Brotli e brotlicffi, e no Envoy. Pesquisadores da Imperva, que o chamam de "Node2Shell", executaram código em uma versão oficial do Node.js em um teste de laboratório; nenhum ataque em ambiente real foi relatado. Uma equipe de segurança do OpenAI Codex descobriu a falha, e a correção permaneceu no código-fonte do Brotli desde fevereiro, sem uma atualização de segurança. Uma falha honesta, ou essa correção deveria ter sido lançada em fevereiro? Comente sua opinião. Curta e inscreva-se para mais conteúdo. O que atualizar: Node.js 22.23.4, 24.22.1 ou 26.12.1 (Node.js 20 e versões anteriores não recebem correção). Bun 1.4.4 ou mais recente. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 ou 1.37.8. libbrotli 1.2.1, 1.1.1 ou 1.0.10. Em seguida, reinicie os serviços e reconstrua as imagens do contêiner. Fontes: • Lançamento de segurança do Node.js (21 de outubro de 2026): nodejs.org • Registro CVE (Google): cve.org • NVD: nvd.nist.gov • Lançamento do Google Brotli v1.2.1: github.com/google/brotli/releases/tag/v1.2.1 • Aviso do GitHub (Python Brotli): advisories/GHSA-9v8h-qqgm-4m35 • Aviso do Envoy: github.com/envoyproxy/envoy/security/advisories/G… • Correção do Bun: bun#46352 e bun.com • The Hacker News (22 de outubro): thehackernews.com • The Hacker News (23 de outubro): thehackernews.com • The Hacker News (24 de outubro): thehackernews.com • Cybernews: cybernews.com Créditos das imagens: • Capturas de tela da página: nodejs.org, The Hacker News, GitHub (google/brotli) • Logotipo do Node.js via Wikimedia Commons (MIT) • Logotipo do Python via Wikimedia Commons • Logotipo "G" do Google via Wikimedia Commons • Logotipo da Bun: bun.com (logotipo oficial) Node.js é uma marca registrada da OpenJS Foundation. Python é uma marca registrada da Python Software Foundation. Google e Brotli são marcas registradas da Google LLC. Bun e Envoy são marcas registradas de seus respectivos proprietários. Usado para comentários de notícias. Este vídeo curto utiliza voz de IA e edição assistida por IA. Os fatos foram verificados com base nas fontes acima. #NodeJS #Cibersegurança #Node2Shell #NotíciasdeTecnologia #VídeosCurtos [ru] Node2Shell: уязвимость в Brotli от Google затрагивает Node.js, Bun и Python (обновитесь прямо сей... Уязвимость в памяти декодера Brotli от Google (CVE-2026-111497) позволяет специально сжатым данным вызывать сбои в работе приложения, утечки памяти или, возможно, запускать код злоумышленника. Node.js исправил её 21 октября 2026 года, и тот же декодер также присутствует в Bun, пакетах Python Brotli и brotlicffi, а также в Envoy. Исследователи Imperva, называющие это "Node2Shell", протестировали код на официальной сборке Node.js в лабораторных условиях; сообщений об атаках в реальных условиях не поступало. Команда OpenAI Codex Security обнаружила уязвимость, и исправление оставалось в исходном коде Brotli с февраля без выпуска обновления безопасности. Честно говоря, это ошибка, или исправление следовало выпустить ещё в феврале? Напишите своё мнение в комментариях. Ставьте лайки и подписывайтесь, чтобы получать больше информации. Что нужно обновить: Node.js 22.23.4, 24.22.1 или 26.12.1 (для Node.js 20 и более старых версий исправления не предусмотрены). Bun 1.4.4 или новее. Python: Brotli 1.2.1, brotlicffi 1.2.1.0. Envoy 1.40.0, 1.39.3, 1.38.6 или 1.37.8. libbrotli 1.2.1, 1.1.1 или 1.0.10. Затем перезапустите службы и пересоберите образы контейнеров. Источники: • Выпуск Node.js по безопасности (21 октября 2026 г.): nodejs.org • Запись CVE (Google): cve.org • NVD: nvd.nist.gov
HTTP2Shell、自分のNode.jsは直った？ 入れ方で違う確かめ方 PHP の脆弱性（PHP2Shell）とほぼ同じ時期に、今度は HTTP2Shell（CVE-2026-111497）が出ました。毎日のように重大な脆弱性が出てくるな…と思いながら手元の Node.js を更新して、直ったか確かめようとしたら、見る場所によって「直った」とも「直っていない」とも読めて少し混乱しました。 この記事では、Node.js の入れ方ごとに直ったかをどこで確かめればいいかと、更新したあとも古いまま残りやすいものをまとめます。想定読者は、手元やサーバーで Node.js を使っていて、HTTP2Shell を見て「自分のは大丈夫か」を確かめたいエンジニアです。 調べる作業は Claude Code に任せました。公式のお知らせとアドバイザリを読ませてから手元の環境を調べさせて、出てきた結果を見て何を上げて何を止めるかを決めています。内容は 2026年10月26日時点のものです。 HTTP2Shell とは 名前から HTTP の欠陥かと思いましたが、中身は Google の圧縮ライブラリ Brotli の、展開（デコード）の処理の欠陥でした。対象は Brotli の 1.0.3〜1.2.0（修正版の 1.0.10・1.1.1 を除く）で、細工した圧縮データを展開させると、メモリが壊れて最悪の場合は外からコードを実行される可能性があります。 呼び名は PHP2Shell と同じ付け方で「HTTP から shell へ」、つまり HTTP の通信で届く圧縮データを入口に外からコマンドを実行されうる、と読めます。もとは Imperva が Node2Shell と名付けたもので、HTTP で圧縮データを自動で展開するライブラリやアプリにも広がることから Aikido が HTTP2Shell と呼んでいます。 深刻度は、CVE を登録した Google が CVSS 4.0 で 9.2（Critical）、Node.js 自身の評価は High です。Imperva が修正前の公式版 24.22.0（Linux arm64 の公式イメージ）で、Express 5 と fetch を使って外からコードを実行できることを、何度か試して再現したと報告しています（記事に攻撃のコードは載っていません）。実際に悪用されたという報告は見当たらず、CISA の KEV（悪用が確認された脆弱性の一覧）にも載っていません。シンガポールのサイバーセキュリティ庁（CSA）は Critical として、すぐに更新するよう呼びかけています。とくに Express 5 などで外に公開しているサーバーは、すぐに上げる対象です。日本の JPCERT/CC と IPA の注意喚起の一覧には、この時点では見当たりませんでした。 Node.js の HTTP サーバーそのものは、Brotli で圧縮されたリクエストを受け取っただけでは展開しません。展開するミドルウェアや fetch を通るときが対象になります。自分で展開の処理を書いていなくても、たとえば次のような経路で届きます。 Express 5 で express.json() などを使っていると、Brotli で圧縮したリクエストを送られただけで展開します。外に公開しているなら、誰でも送れます Node.js の fetch は、相手のサーバーが Brotli で圧縮した応答（Content-Encoding: br）を返すと自動で展開します。webhook やリンクのプレビュー、クローラーのように、相手を選ばずに取りに行く処理が狙われやすいです Node.js 以外では、Python の requests も brotli か brotlicffi が入っていると Brotli の応答を展開します。 主な修正版は次のとおりです。 対象 修正版 Node.js 22.23.4 / 24.22.1 / 26.12.1。20 以前と 23・25 系はサポートが終わっていて修正版が出ないので、このどれかの系列に上げる Bun 1.4.4（bun build --compile で作った実行ファイルも作り直す） Python brotli 1.2.1、brotlicffi 1.2.1.0 Brotli 本体 1.0.10 / 1.1.1 / 1.2.1 Bun と Python は、この表の版以上になっているかで確かめられます。ややこしいのは Node.js です。ここからは Node.js の話をします。 直ったかの確かめ方は、入れ方で変わる 最初に混乱したのがここです。公式の Node.js を修正版の 24.22.1 にしたあと、中に入っている Brotli の版を process.versions.brotli で見ると、直す前と同じ 1.2.0 のままでした。Node.js のお知らせは Node.js 本体の版で修正版を示しています。本体の版は上がったのに中の Brotli の版は同じで、それで本当に直ってるの？と思いました。 整理すると、見ている数字が2つあります。Claude Code に公式版の 24.22.0 と 24.22.1 を落として並べさせた結果がこれです。 数字 見方 公式の 24.22.0（修正前） 公式の 24.22.1（修正後） Node.js 本体のバージョン node -v v24.22.0 v24.22.1 中に入っている Brotli のバージョン node -p process.versions.brotli 1.2.0 1.2.0 公式の Node.js は、Brotli を 1.2.1 に上げたのではなく、修正のコミットだけを取り込んでいます（v24.22.1 の CHANGELOG に deps: brotli: cherry-pick 0ed4268… とあります）。中身は直っていても、Brotli の版の番号は変わりません。 もう1つ話を分かりにくくしているのが、Node.js の入れ方によって Brotli を中に持っているかどうかが違うことです。 入れ方 Brotli 直ったかを見る場所 nodejs.org の配布物、それを落として使う nvm・fnm・Volta など、公式の Docker イメージ（alpine 版も含む）、NodeSource（apt で入れられる Node.js のビルドの配布元） Node.js の中に入っている Node.js 本体のバージョン（node -v） Homebrew brew で入れた brotli を読み込む brew の brotli のバージョン（node -p process.versions.brotli） Debian / Ubuntu（20.04 を除く）標準の apt OS の brotli のライブラリを読み込む libbrotli1 のパッケージ Alpine の apk で入れた nodejs OS の brotli のライブラリを読み込む brotli-libs のパッケージ どれで入れたか分からなければ、先に見分けます。行が出れば外の brotli を読み込んでいます。 macOS otool -L "$(node -p process.execPath)" | grep brotli Linux ldd "$(node -p process.execPath)" | grep brotli macOS の otool の行には current version 1.2.0 のように版が出ますが、これは node をビルドした時点の値で、今読み込んでいるものの版ではありません。版はこのあとの見方で確かめます。表に無い仕組み（Nix や MacPorts など）で入れていて行が出たら、行に出たパスのライブラリを入れた仕組みで brotli の版を確かめます。 行が出なければ、Node.js の中に Brotli が入っています。Node.js 本体のバージョンで確かめます。 node -v 22系は 22.23.4、24系は 24.22.1、26系は 26.12.1、それぞれ以上なら修正版 nvm や Volta などでプロジェクトごとに版を切り替えているなら、ホームディレクトリで見た版とプロジェクトで使っている版が違うことがあります。nvm ls・fnm list・volta list node などで、入っている版を全部見ておきます。 Homebrew の node は、brew の brotli を読み込む作りでした。この場合は process.versions.brotli が読み込んでいる brotli の版を出します。1.2.1 になっていれば直っています。逆に node 本体を新しくしても、brew の brotli が 1.2.0 のままなら直っていません。 Debian は、上流の版の番号を変えずに修正を当てます。版の番号を目で見比べると読み違えやすいので、修正が入った版以上かを判定させます。 bookworm（trixie なら 1.1.0-2+deb13u1 と比べる） dpkg --compare-versions "$(dpkg-query -W -f='${Version}' libbrotli1)" ge 1.0.9-2+deb12u1 && echo fixed || echo "not fixed (or not installed)" Debian のセキュリティトラッカーを開くと nodejs の欄は vulnerable と出ます（重要度は unimportant）。nodejs は OS の brotli を使っていて、brotli 側が直っていれば大丈夫です。apt の nodejs は bookworm が 18 系、trixie が 20 系とサポートの終わった版ですが、この脆弱性に限っては libbrotli1 が直れば直ります。 Ubuntu は jammy（22.04）以降の nodejs を「対象外」としています。これは OS の brotli を使うためで、その brotli は 10月26日時点でまだ評価中で修正版が出ていません。修正版が出るまでは直っていない扱いです。focal（20.04）の nodejs は Brotli を中に持っていて、対象のままです。Ubuntu で急ぐなら、NodeSource か公式の配布物の修正版に切り替えるのが早いと思います。 Alpine の apk で入れた nodejs は apk list -I brotli-libs で brotli の版を見ます。Alpine 3.23 なら 1.2.1-r0 以上が修正版で、ほかの版の Alpine は Alpine のセキュリティ情報で確かめます。 確かめていて見つけた落とし穴：brotli を上げたら node が 26 系に 手元の Mac では、brew の node（24.10.0）が brew の brotli（1.2.0）を読み込んでいました。brew upgrade brotli で brotli を上げたら、brotli を使うものも一緒に上がって、node まで 24 系から 26 系に上がっていました。 brotli を上げれば、それ以降に起動する node は直ります。ただ、メジャーバージョンが変わるとほかのところで困ることがあるので、同じ 24 系の修正版に揃えるために node@24 に切り替えました。 brew install node@24 brew unlink node brew link --overwrite --force --dry-run node@24 # 先に上書きされるファイルを見る brew link --overwrite --force node@24 node -v # v24.22.1 node -p process.versions.brotli # 1.2.1 --overwrite は、シンボリックリンクではない実ファイルも消して置き換えるので、dry-run の一覧は確かめてから実行します。戻すときは brew unlink node@24 && brew link node です。グローバルに入れたパッケージは 24 系と 26 系で共有されるので、26 系だった間に入れたネイティブモジュールは、24 系では動かないことがあります。 brew upgrade で brotli を使うものまでまとめて上がるのは、brew では普通の動きです。気づけたのは、上げたあとに node -v を見たからでした。 更新したあとも古いまま残るもの Node.js や brotli を更新しても、すでに動いているものは古いまま動き続けます。 動いているプロセスは、起動したときの Node.js と brotli のまま動いています。brew や apt で brotli だけを上げた場合も同じで、起動し直すまで直りません。手元では、2週間以上動きっぱなしの開発用サーバー（next dev）や、Claude Code などの AI ツールが裏で npx から起動する補助のサーバー（MCP サーバー）が古いまま残っていました。MCP サーバーは、起動したツールを立ち上げ直すと新しい Node.js で起動し直します。 こうしたプロセスは表示名を npm exec … や next-server に書き換えるので、ps の結果を node で grep しても半分ほど漏れました。macOS では、実行ファイルと読み込んでいるライブラリから探すと漏れません。 実行ファイルが node のプロセスと、起動した日時 lsof -nP -d txt 2>/dev/null | LC_ALL=C awk '$NF ~ /\/node$/ {print $2}' | sort -u | xargs ps -o pid,lstart,comm -p brew の brotli を読み込んでいるプロセス（パスに版が出る。手元では全部 node でした） lsof -nP -d txt 2>/dev/null | LC_ALL=C awk '/libbrotlidec/ {print $2, $NF}' | sort -u 更新した日時より前に起動したものが、古いままのプロセスです。手元では、2つ目のコマンドで brotli/1.2.0 のパスを読み込んだままの node がたくさん見つかりました。Linux では、次の2つで探せます。ほかのユーザーで動くサービスも見るので sudo を付けます。 apt や apk の brotli を更新したあと、古いライブラリを読み込んだままのプロセス（/proc/<PID>/maps の PID） sudo grep -l 'libbrotlidec.(deleted)' /proc/[0-9]/maps 2>/dev/null 動いている node の実行ファイル（nvm などはパスに版が出る） sudo ls -l /proc/[0-9]*/exe 2>/dev/null | grep '/node$' 起動した日時は ps -o pid,lstart,comm -p <PID> で見られます。なお、ps でコマンドの引数まで出すと、MCP サーバーに渡している API キーなどが表示されることがあるので、出力を人に見せたり AI に貼ったりしないようにします。 コンテナのイメージには、ビルドした時点の Node.js が入ったままです。node:24.22.0 のように版を固定したタグは、作り直しても古いままです。固定していないタグでも、ベースイメージを取り直して作り直さないと、キャッシュの古いものが使われることがあります。 今動いているコンテナの Node.js の版 docker exec <コンテナ名> node -v ベースイメージを取り直して作り直す docker build --pull -t <イメージ名> . 作り直したら、コンテナも作り直して起動し直します。イメージの中で apt や apk から Node.js を入れているなら、node -v ではなく上の表のとおりイメージの中の brotli のパッケージを見ます。この場合は apt や apk の層もキャッシュから使われることがあるので、--no-cache も付けて作り直します。 Node.js の単一実行ファイル（SEA）のように、ビルドに使った node を丸ごとコピーして1つのファイルにまとめたものも、作り直すまでは古いままです。 公開したままのサービスも残ります。手元では、前に自分で作った個人開発のミニ Web アプリが古いまま公開されていました。メンテもできていなかったので、この機会にクローズしました。止めるときに見落としやすいのが、自動でデプロイし直す仕組みです。Cloud Build のトリガーや GitHub Actions が残っていると、リポジトリに push したときに止めたはずのサービスがまた公開されます。サービスと一緒に止めておきます。 今回 Claude Code に確かめさせた流れ まず公式のお知らせやアドバイザリを読ませて、脆弱性の中身を理解させる 自分の環境で、Node.js などをどの方法で入れているかを洗い出させる。プロジェクトごとに版を切り替えているなら、入っている版を全部 入れ方ごとに、上の表の正しい場所で直ったかを確かめさせる 動いているプロセス、コンテナ、公開しているサービスまで見させる 何を上げて何を止めるかは自分で決めて、上げたあとは版を確かめ直し、動いているものを起動し直す 1 から 4 は読むだけのコマンドで済むので任せて、変えるコマンドは提案させてから自分で決めます。上げると決めたあとも、brew のように brotli を使うものまでまとめて変わることがあって、上げたあとに node -v と process.versions.brotli、動いているプロセスまで確かめ直しています。 まとめ HTTP2Shell の中身は、Brotli の展開の処理の欠陥 公式版の Node.js は、修正後も process.versions.brotli が 1.2.0 のまま。直ったかは Node.js 本体のバージョンで見る brew や apt の Node.js は外の brotli を読み込むので、brotli 側を見る 動いているプロセス、コンテナ、公開したままのサービスは、更新しても古いまま残る AI で作って公開したサービスの棚卸し 最後に、エンジニアではない人に向けた話です。最近はバイブコーディングで、エンジニアではない人もサービスを作って公開することが増えています。AI に作ってもらったサービスだと、中で何が動いているかを細かく覚えていないこともあると思います。 使っている Node.js のバージョンや、どこに公開したかが分からないままだと、今回のような脆弱性が出ても自分が対象かどうかを確かめられません。作るのに使った AI に、使っている Node.js の版と公開先を聞いてみるのが手軽です。Vercel のようなホスティングを使っているなら、事業者の告知も確かめます。今は使っていないのに公開したままのものがあれば、一度洗い出しておくと、次にこういうことがあったときに慌てずに済みます。 参考: Node.js のセキュリティリリース（2026年10月）: nodejs.org Node.js v24 の CHANGELOG: github.com/nodejs/node/blob/v24.22.1/doc/changelo… CVE の記録: cve.org PyPI の brotli / brotlicffi のアドバイザリ: advisories/GHSA-9v8h-qqgm-4m35 Bun のアドバイザリ: github.com/oven-sh/bun/security/advisories/GHSA-6… Debian のセキュリティトラッカー: security-tracker.debian.org Ubuntu の CVE のページ: ubuntu.com Imperva の報告: imperva.com Aikido の記事: aikido.dev シンガポール CSA の注意喚起: csa.gov.sg
7 free open-source tools Paid tools pe paise kharch karne se pehle ye 7 free open-source tools zaroor dekhiye 👇 1. Tauri – Web code se halke cross-platform desktop apps (Windows, Mac, Linux) 🔗 tauri-apps/tauri 2. Encore – Backend likhiye, cloud infrastructure automatic setup 🔗 encoredev/encore 3. Bun – Fast JavaScript runtime, bundler aur transpiler ek saath 🔗 oven-sh/bun 4. Postiz – Social media posts schedule karo, AI content + analytics ke saath 🔗 gitroomhq/postiz-app 5. Composio – AI agents ko GitHub, Slack, Gmail jaise apps se connect karo 🔗 ComposioHQ/composio 6. Gitpod (ab Ona) – Browser mein ready-to-code dev environment 🔗 ona.com 🔗 gitpod-io/gitpod 7. Continue – VS Code aur JetBrains ke liye open-source AI coding assistant 🔗 continuedev/continue 📖 Full article: medium.com Aap inme se kaunsa tool use karte ho? Comment mein batao! 💬 #OpenSource #DeveloperTools #Programming #Coding #Shorts [ar] 7 أدوات مفتوحة المصدر مجانية قبل إنفاق المال على الأدوات المدفوعة، إليك 7 أدوات مجانية مفتوحة المصدر 👇 1. Tauri – تطبيقات سطح مكتب خفيفة الوزن ومتعددة المنصات (Windows، Mac، Linux) من كود الويب 🔗 tauri-apps/tauri 2. Encore – كتابة الواجهة الخلفية، وأتمتة إعداد البنية التحتية السحابية 🔗 encoredev/encore 3. Bun – بيئة تشغيل جافا سكريبت سريعة، ومجمع، ومترجم في آن واحد 🔗 oven-sh/bun 4. Postiz – جدولة منشورات وسائل التواصل الاجتماعي، مع محتوى وتحليلات مدعومة بالذكاء الاصطناعي 🔗 gitroomhq/postiz-app 5. Composio – ربط وكلاء الذكاء الاصطناعي بتطبيقات مثل GitHub وSlack وGmail 🔗 ComposioHQ/composio 6. Gitpod (الآن Ona) – بيئة جاهزة للبرمجة بيئة تطوير في المتصفح 🔗 ona.com 🔗 gitpod-io/gitpod 7. Continue – مساعد برمجة مفتوح المصدر يعمل بالذكاء الاصطناعي لـ VS Code وJetBrains 🔗 continuedev/continue 📖 المقال الكامل: medium.com أي من هذه الأدوات تستخدم؟ شاركنا رأيك في التعليقات! 💬 #مفتوح_المصدر #أدوات_المطورين #البرمجة #البرمجة_البرمجية #مقاطع_قصيرة [bn] ৭টি ফ্রি ওপেন-সোর্স টুল পেইড টুলগুলিতে টাকা খরচ করার আগে, এই ৭টি ফ্রি ওপেন-সোর্স টুল দেখে নিন 👇 ১. Tauri – ওয়েব কোড থেকে তৈরি লাইটওয়েট ক্রস-প্ল্যাটফর্ম ডেস্কটপ অ্যাপ (উইন্ডোজ, ম্যাক, লিনাক্স) 🔗 tauri-apps/tauri ২. Encore – ব্যাকএন্ড লিখুন, ক্লাউড ইনফ্রাস্ট্রাকচার সেটআপ স্বয়ংক্রিয় করুন 🔗 encoredev/encore ৩. Bun – দ্রুত জাভাস্ক্রিপ্ট রানটাইম, বান্ডলার এবং ট্রান্সপাইলার একসাথে 🔗 oven-sh/bun ৪. Postiz – AI কন্টেন্ট এবং অ্যানালিটিক্স সহ সোশ্যাল মিডিয়া পোস্ট শিডিউল করুন 🔗 gitroomhq/postiz-app ৫. Composio – GitHub, Slack, এবং Gmail-এর মতো অ্যাপে AI এজেন্ট সংযুক্ত করুন 🔗 ComposioHQ/composio ৬. Gitpod (এখন Ona) – কোড করার জন্য প্রস্তুত একটি ডেভ এনভায়রনমেন্ট ব্রাউজার 🔗 ona.com 🔗 gitpod-io/gitpod ৭. কন্টিনিউ – ভিএস কোড এবং জেটব্রেইনস-এর জন্য একটি ওপেন-সোর্স এআই কোডিং অ্যাসিস্ট্যান্ট 🔗 continuedev/continue 📖 সম্পূর্ণ আর্টিকেল: medium.com এই টুলগুলোর মধ্যে কোনটি আপনি ব্যবহার করেন? কমেন্টে আমাদের জানান! 💬 #OpenSource #DeveloperTools #Programming #Coding #Shorts [de-DE] 7 kostenlose Open-Source-Tools Bevor du Geld für kostenpflichtige Tools ausgibst, sieh dir diese 7 kostenlosen Open-Source-Tools an 👇 1. Tauri – Leichtgewichtige, plattformübergreifende Desktop-Apps (Windows, Mac, Linux) aus Webcode 🔗 tauri-apps/tauri 2. Encore – Backend schreiben, Cloud-Infrastruktur-Setup automatisieren 🔗 encoredev/encore 3. Bun – Schnelle JavaScript-Laufzeitumgebung, Bundler und Transpiler in einem 🔗 oven-sh/bun 4. Postiz – Social-Media-Posts planen, mit KI-Inhalten und -Analysen 🔗 gitroomhq/postiz-app 5. Composio – KI-Agenten mit Apps wie GitHub, Slack und Gmail verbinden 🔗 ComposioHQ/composio 6. Gitpod (jetzt Ona) – Eine sofort einsatzbereite Entwicklungsumgebung Browser 🔗 ona.com 🔗 gitpod-io/gitpod 7. Continue – Ein Open-Source-KI-Codierungsassistent für VS Code und JetBrains 🔗 continuedev/continue 📖 Vollständiger Artikel: medium.com Welche dieser Tools nutzt du? Schreib es uns in die Kommentare! 💬 #OpenSource #DeveloperTools #Programming #Coding #Shorts [es-US] 7 herramientas de código abierto gratuitas Antes de gastar dinero en herramientas de pago, echa un vistazo a estas 7 herramientas gratuitas de código abierto 👇 1. Tauri: Aplicaciones de escritorio ligeras y multiplataforma (Windows, Mac, Linux) a partir de código web 🔗 tauri-apps/tauri 2. Encore: Desarrolla el backend y automatiza la configuración de la infraestructura en la nube 🔗 encoredev/encore 3. Bun: Entorno de ejecución, empaquetador y transpilador de JavaScript rápidos, todo en uno 🔗 oven-sh/bun 4. Postiz: Programa publicaciones en redes sociales con contenido y análisis mediante IA 🔗 gitroomhq/postiz-app 5. Composio: Conecta agentes de IA con aplicaciones como GitHub, Slack y Gmail 🔗 ComposioHQ/composio 6. Gitpod (ahora Ona): Un entorno de desarrollo listo para programar En el navegador 🔗 ona.com 🔗 gitpod-io/gitpod 7. Continue: un asistente de codificación con IA de código abierto para VS Code y JetBrains 🔗 continuedev/continue 📖 Artículo completo: medium.com ¿Cuáles de estas herramientas usas? ¡Cuéntanos en los comentarios! 💬 #CódigoAbierto #HerramientasParaDesarrolladores #Programación #Codificación #Resumen [fr-FR] 7 outils open source gratuits Avant d'investir dans des outils payants, découvrez ces 7 outils open source gratuits 👇 1. Tauri – Applications de bureau multiplateformes légères (Windows, Mac, Linux) à partir de code web 🔗 tauri-apps/tauri 2. Encore – Développez du backend et automatisez la configuration de votre infrastructure cloud 🔗 encoredev/encore 3. Bun – Environnement d'exécution JavaScript rapide, bundler et transpileur tout-en-un 🔗 oven-sh/bun 4. Postiz – Programmez vos publications sur les réseaux sociaux grâce à l'IA et à l'analyse de contenu 🔗 gitroomhq/postiz-app 5. Composio – Connectez des agents IA à des applications comme GitHub, Slack et Gmail 🔗 ComposioHQ/composio 6. Gitpod (désormais Ona) – Un environnement de développement prêt à l'emploi Le navigateur 🔗 ona.com 🔗 gitpod-io/gitpod 7. Continue – Un assistant de codage IA open source pour VS Code et JetBrains 🔗 continuedev/continue 📖 Article complet : medium.com Lequel de ces outils utilisez-vous ? Dites-le-nous en commentaire ! 💬 #OpenSource #OutilsDeDéveloppement #Programmation #Codage #Courtes [id] 7 alat open-source gratis Sebelum mengeluarkan uang untuk alat berbayar, lihat 7 alat open-source gratis ini 👇 1. Tauri – Aplikasi desktop lintas platform ringan (Windows, Mac, Linux) dari kode web 🔗 tauri-apps/tauri 2. Encore – Tulis backend, otomatiskan pengaturan infrastruktur cloud 🔗 encoredev/encore 3. Bun – Runtime JavaScript cepat, bundler, dan transpiler dalam satu paket 🔗 oven-sh/bun 4. Postiz – Jadwalkan postingan media sosial, dengan konten dan analitik AI 🔗 gitroomhq/postiz-app 5. Composio – Hubungkan agen AI ke aplikasi seperti GitHub, Slack, dan Gmail 🔗 ComposioHQ/composio 6. Gitpod (sekarang Ona) – Lingkungan pengembangan siap pakai di browser 🔗 ona.com 🔗 gitpod-io/gitpod 7. Continue – Asisten pengkodean AI sumber terbuka untuk VS Code dan JetBrains 🔗 continuedev/continue 📖 Artikel lengkap: medium.com Alat mana yang Anda gunakan? Beri tahu kami di kolom komentar! 💬 #OpenSource #DeveloperTools #Programming #Coding #Shorts [it] 7 strumenti open source gratuiti Prima di spendere soldi in strumenti a pagamento, dai un'occhiata a questi 7 strumenti open source gratuiti 👇 1. Tauri – Applicazioni desktop leggere multipiattaforma (Windows, Mac, Linux) da codice web 🔗 tauri-apps/tauri 2. Encore – Scrivi il backend, automatizza la configurazione dell'infrastruttura cloud 🔗 encoredev/encore 3. Bun – Runtime JavaScript veloce, bundler e transpiler in un unico strumento 🔗 oven-sh/bun 4. Postiz – Pianifica i post sui social media, con contenuti e analisi basati sull'IA 🔗 gitroomhq/postiz-app 5. Composio – Collega agenti IA ad app come GitHub, Slack e Gmail 🔗 ComposioHQ/composio 6. Gitpod (ora Ona) – Un ambiente di sviluppo pronto all'uso Ambiente di sviluppo nel browser 🔗 ona.com 🔗 gitpod-io/gitpod 7. Continue – Un assistente di programmazione open source basato sull'IA per VS Code e JetBrains 🔗 continuedev/continue 📖 Articolo completo: medium.com Quale di questi strumenti usi? Faccelo sapere nei commenti! 💬 #OpenSource #StrumentiPerSviluppatori #Programmazione #Coding #Brevi [iw] 7 כלי קוד פתוח בחינם לפני שאתם מוציאים כסף על כלים בתשלום, בדקו את 7 הכלים החינמיים האלה בקוד פתוח 👇 1. Tauri – אפליקציות שולחן עבודה קלות משקל חוצות פלטפורמות (Windows, Mac, Linux) מקוד אינטרנט 🔗 tauri-apps/tauri 2. Encore – כתיבת קצה אחורי, אוטומציה של הגדרת תשתית ענן 🔗 encoredev/encore 3. Bun – זמן ריצה מהיר של JavaScript, bundler ו-transpiler באחד 🔗 oven-sh/bun 4. Postiz – תזמון פוסטים במדיה חברתית, עם תוכן וניתוח של בינה מלאכותית 🔗 gitroomhq/postiz-app 5. Composio – חיבור סוכני בינה מלאכותית לאפליקציות כמו GitHub, Slack ו-Gmail 🔗 ComposioHQ/composio 6. Gitpod (כיום Ona) – סביבת פיתוח מוכנה לקוד ב- דפדפן 🔗 ona.com 🔗 gitpod-io/gitpod 7. Continue – עוזר קידוד בינה מלאכותית בקוד פתוח עבור VS Code ו-JetBrains 🔗 continuedev/continue 📖 המאמר המלא: medium.com באיזה מהכלים האלה אתם משתמשים? ספרו לנו בתגובות! 💬 #קודפתוח #כלימפתחים #תכנות #קידוד #קטעים קצרים [ja] 無料のオープンソースツール7選 有料ツールにお金をかける前に、以下の7つの無料オープンソースツールをチェックしてみてください👇 1. Tauri – Webコードから軽量なクロスプラットフォームデスクトップアプリ（Windows、Mac、Linux）を作成 🔗 tauri-apps/tauri 2. Encore – バックエンド開発、クラウドインフラストラクチャのセットアップを自動化 🔗 encoredev/encore 3. Bun – 高速なJavaScriptランタイム、バンドラー、トランスパイラーが一体化 🔗 oven-sh/bun 4. Postiz – AIコンテンツと分析機能を備えたソーシャルメディア投稿のスケジュール設定 🔗 gitroomhq/postiz-app 5. Composio – AIエージェントをGitHub、Slack、Gmailなどのアプリに接続 🔗 ComposioHQ/composio 6. Gitpod（現Ona） – すぐにコーディングできる開発環境ブラウザ 🔗 ona.com 🔗 gitpod-io/gitpod 7. Continue – VS CodeとJetBrains向けのオープンソースAIコーディングアシスタント 🔗 continuedev/continue 📖 記事全文：medium.com これらのツールの中で、どれを使っていますか？コメントで教えてください！💬 #オープンソース #開発者ツール #プログラミング #コーディング #ショート [ko] 무료 오픈소스 도구 7가지 유료 도구를 구입하기 전에 아래 7가지 무료 오픈 소스 도구를 확인해 보세요 👇 1. Tauri – 웹 코드로 개발 가능한 경량 크로스 플랫폼 데스크톱 앱(Windows, Mac, Linux) 🔗 tauri-apps/tauri 2. Encore – 백엔드 개발 및 클라우드 인프라 설정 자동화 🔗 encoredev/encore 3. Bun – 빠르고 안정적인 JavaScript 런타임, 번들러, 트랜스파일러를 하나로 통합 🔗 oven-sh/bun 4. Postiz – AI 기반 콘텐츠 및 분석 기능을 통해 소셜 미디어 게시물 예약 🔗 gitroomhq/postiz-app 5. Composio – GitHub, Slack, Gmail 등의 앱에 AI 에이전트 연결 🔗 ComposioHQ/composio 6. Gitpod (현재 Ona) – 바로 코딩 가능한 개발 환경 브라우저 🔗 ona.com 🔗 gitpod-io/gitpod 7. Continue – VS Code 및 JetBrains용 오픈 소스 AI 코딩 도우미 🔗 continuedev/continue 📖 전체 기사: medium.com 이 도구들 중 어떤 것을 사용하시나요? 댓글로 알려주세요! 💬 #오픈소스 #개발자도구 #프로그래밍 #코딩 #숏츠 [ml] 7 സൗജന്യ ഓപ്പൺ സോഴ്സ് ടൂളുകൾ പണമടച്ചുള്ള ഉപകരണങ്ങൾക്കായി പണം ചെലവഴിക്കുന്നതിന് മുമ്പ്, ഈ 7 സൗജന്യ ഓപ്പൺ സോഴ്സ് ഉപകരണങ്ങൾ പരിശോധിക്കുക 👇 1. ടൗറി – വെബ് കോഡിൽ നിന്നുള്ള ലൈറ്റ്വെയ്റ്റ് ക്രോസ്-പ്ലാറ്റ്ഫോം ഡെസ്ക്ടോപ്പ് ആപ്പുകൾ (വിൻഡോസ്, മാക്, ലിനക്സ്) 🔗 tauri-apps/tauri 2. എൻകോർ – ബാക്കെൻഡ് എഴുതുക, ക്ലൗഡ് ഇൻഫ്രാസ്ട്രക്ചർ സജ്ജീകരണം ഓട്ടോമേറ്റ് ചെയ്യുക 🔗 encoredev/encore 3. ബൺ – വേഗതയേറിയ ജാവാസ്ക്രിപ്റ്റ് റൺടൈം, ബണ്ടിൽ, ട്രാൻസ്പൈലർ എന്നിവ ഒന്നിൽ 🔗 oven-sh/bun 4. പോസ്റ്റിസ് – AI ഉള്ളടക്കവും വിശകലനങ്ങളും ഉപയോഗിച്ച് സോഷ്യൽ മീഡിയ പോസ്റ്റുകൾ ഷെഡ്യൂൾ ചെയ്യുക 🔗 gitroomhq/postiz-app 5. കമ്പോസിയോ – GitHub, Slack, Gmail പോലുള്ള ആപ്പുകളിലേക്ക് AI ഏജന്റുകളെ ബന്ധിപ്പിക്കുക 🔗 ComposioHQ/composio 6. Gitpod (ഇപ്പോൾ ഓണ) – ഒരു റെഡി-ടു-കോഡ് ഡെവലപ്മെന്റ് എൻവയോൺമെന്റ് ബ്രൗസറിൽ 🔗 ona.com 🔗 gitpod-io/gitpod 7. തുടരുക – VS കോഡിനും ജെറ്റ്ബ്രെയിനുകൾക്കുമുള്ള ഒരു ഓപ്പൺ സോഴ്സ് AI കോഡിംഗ് അസിസ്റ്റന്റ് 🔗 continudev/continue 📖 പൂർണ്ണ ലേഖനം: medium.com ഈ ടൂളുകളിൽ ഏതാണ് നിങ്ങൾ ഉപയോഗിക്കുന്നത്? അഭിപ്രായങ്ങളിൽ ഞങ്ങളെ അറിയിക്കുക! 💬 #OpenSource #DeveloperTools #Programming #Coding #Shorts [nl-NL] 7 gratis open-source tools Voordat je geld uitgeeft aan betaalde tools, bekijk dan deze 7 gratis open-source tools 👇 1. Tauri – Lichtgewicht, platformonafhankelijke desktop-apps (Windows, Mac, Linux) gebaseerd op webcode 🔗 tauri-apps/tauri 2. Encore – Schrijf backends en automatiseer de configuratie van cloudinfrastructuur 🔗 encoredev/encore 3. Bun – Snelle JavaScript-runtime, bundler en transpiler in één 🔗 oven-sh/bun 4. Postiz – Plan berichten voor sociale media, met AI-content en analyses 🔗 gitroomhq/postiz-app 5. Composio – Verbind AI-agents met apps zoals GitHub, Slack en Gmail 🔗 ComposioHQ/composio 6. Gitpod (nu Ona) – Een kant-en-klare ontwikkelomgeving browser 🔗 ona.com 🔗 gitpod-io/gitpod 7. Continue – Een open-source AI-codeerassistent voor VS Code en JetBrains 🔗 continuedev/continue 📖 Volledig artikel: medium.com Welke van deze tools gebruik jij? Laat het ons weten in de reacties! 💬 #OpenSource #DeveloperTools #Programming #Coding #Shorts [pa] 7 ਮੁਫਤ ਓਪਨ-ਸੋਰਸ ਟੂਲ ਭੁਗਤਾਨ ਕੀਤੇ ਟੂਲਸ 'ਤੇ ਪੈਸੇ ਖਰਚਣ ਤੋਂ ਪਹਿਲਾਂ, ਇਹਨਾਂ 7 ਮੁਫ਼ਤ ਓਪਨ-ਸੋਰਸ ਟੂਲਸ ਨੂੰ ਦੇਖੋ 👇 1. ਟੌਰੀ - ਵੈੱਬ ਕੋਡ ਤੋਂ ਹਲਕੇ ਕਰਾਸ-ਪਲੇਟਫਾਰਮ ਡੈਸਕਟੌਪ ਐਪਸ (ਵਿੰਡੋਜ਼, ਮੈਕ, ਲੀਨਕਸ) 🔗 tauri-apps/tauri 2. ਐਨਕੋਰ - ਬੈਕਐਂਡ ਲਿਖੋ, ਕਲਾਉਡ ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਸੈੱਟਅੱਪ ਨੂੰ ਸਵੈਚਲਿਤ ਕਰੋ 🔗 encoredev/encore 3. ਬਨ - ਇੱਕ ਵਿੱਚ ਤੇਜ਼ JavaScript ਰਨਟਾਈਮ, ਬੰਡਲਰ, ਅਤੇ ਟ੍ਰਾਂਸਪਾਈਲਰ 🔗 oven-sh/bun 4. ਪੋਸਟਿਜ਼ - AI ਸਮੱਗਰੀ ਅਤੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਨਾਲ ਸੋਸ਼ਲ ਮੀਡੀਆ ਪੋਸਟਾਂ ਨੂੰ ਤਹਿ ਕਰੋ 🔗 gitroomhq/postiz-app 5. ਕੰਪੋਜ਼ਿਓ - AI ਏਜੰਟਾਂ ਨੂੰ GitHub, Slack, ਅਤੇ Gmail ਵਰਗੀਆਂ ਐਪਾਂ ਨਾਲ ਕਨੈਕਟ ਕਰੋ 🔗 ComposioHQ/composio 6. ਗਿੱਟਪੌਡ (ਹੁਣ ਓਨਾ) - ਇੱਕ ਤਿਆਰ-ਤੋਂ-ਕੋਡ ਵਿਕਾਸ ਵਾਤਾਵਰਣ ਬ੍ਰਾਊਜ਼ਰ 🔗 ona.com 🔗 gitpod-io/gitpod 7. ਜਾਰੀ ਰੱਖੋ – VS ਕੋਡ ਅਤੇ JetBrains ਲਈ ਇੱਕ ਓਪਨ-ਸੋਰਸ AI ਕੋਡਿੰਗ ਸਹਾਇਕ 🔗 continuedev/continue 📖 ਪੂਰਾ ਲੇਖ: medium.com ਤੁਸੀਂ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕਿਹੜੇ ਟੂਲ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋ? ਸਾਨੂੰ ਟਿੱਪਣੀਆਂ ਵਿੱਚ ਦੱਸੋ! 💬 #OpenSource #DeveloperTools #Programming #Coding #Shorts [pl] 7 darmowych narzędzi open-source Zanim wydasz pieniądze na płatne narzędzia, sprawdź te 7 darmowych narzędzi open source 👇 1. Tauri – Lekkie, wieloplatformowe aplikacje desktopowe (Windows, Mac, Linux) z kodu webowego 🔗 tauri-apps/tauri 2. Encore – Napisz backend, zautomatyzuj konfigurację infrastruktury chmurowej 🔗 encoredev/encore 3. Bun – Szybkie środowisko uruchomieniowe JavaScript, bundler i transpiler w jednym 🔗 oven-sh/bun 4. Postiz – Planuj posty w mediach społecznościowych z treściami i analizami AI 🔗 gitroomhq/postiz-app 5. Composio – Połącz agentów AI z aplikacjami takimi jak GitHub, Slack i Gmail 🔗 ComposioHQ/composio 6. Gitpod (obecnie Ona) – Gotowe do kodowania środowisko deweloperskie w przeglądarce 🔗 ona.com 🔗 gitpod-io/gitpod 7. Kontynuuj – asystent kodowania AI typu open source dla VS Code i JetBrains 🔗 continuedev/continue 📖 Pełny artykuł: medium.com Którego z tych narzędzi używasz? Daj nam znać w komentarzach! 💬 #OpenSource #NarzędziaDeweloperskie #Programowanie #Kodowanie #Krótkie [pt-BR] 7 ferramentas open source gratuitas Antes de gastar dinheiro com ferramentas pagas, confira estas 7 ferramentas gratuitas de código aberto 👇 1. Tauri – Aplicativos leves e multiplataforma para desktop (Windows, Mac, Linux) criados a partir de código web 🔗 tauri-apps/tauri 2. Encore – Escreva backend e automatize a configuração da infraestrutura em nuvem 🔗 encoredev/encore 3. Bun – Runtime, bundler e transpilador JavaScript rápidos em um só 🔗 oven-sh/bun 4. Postiz – Agende publicações em mídias sociais com conteúdo e análises de IA 🔗 gitroomhq/postiz-app 5. Composio – Conecte agentes de IA a aplicativos como GitHub, Slack e Gmail 🔗 ComposioHQ/composio 6. Gitpod (agora Ona) – Um ambiente de desenvolvimento pronto para codificar Navegador 🔗 ona.com 🔗 gitpod-io/gitpod 7. Continue – Um assistente de codificação de IA de código aberto para VS Code e JetBrains 🔗 continuedev/continue 📖 Artigo completo: medium.com Quais dessas ferramentas você usa? Conte para nós nos comentários! 💬 #OpenSource #DeveloperTools #Programming #Coding #Shorts [ru] 7 бесплатных инструментов с открытым исходным кодом Прежде чем тратить деньги на платные инструменты, ознакомьтесь с этими 7 бесплатными инструментами с открытым исходным кодом 👇 1. Tauri – Легковесные кроссплатформенные настольные приложения (Windows, Mac, Linux) из веб-кода 🔗 tauri-apps/tauri 2. Encore – Разработка бэкенда, автоматизация настройки облачной инфраструктуры 🔗 encoredev/encore 3. Bun – Быстрая среда выполнения JavaScript, сборщик и транспайлер в одном 🔗 oven-sh/bun 4. Postiz – Планирование публикаций в социальных сетях с использованием ИИ-контента и аналитики 🔗 gitroomhq/postiz-app 5. Composio – Подключение ИИ-агентов к таким приложениям, как GitHub, Slack и Gmail 🔗 ComposioHQ/composio 6. Gitpod (теперь Ona) – A Готовая к использованию среда разработки в браузере 🔗 ona.com 🔗 gitpod-io/gitpod 7. Continue – помощник по программированию с открытым исходным кодом на основе ИИ для VS Code и JetBrains 🔗 continuedev/continue 📖 Полная статья: medium.com Какие из этих инструментов вы используете? Расскажите нам в комментариях! 💬 #OpenSource #DeveloperTools #Programming #Coding #Shorts [ta] 7 இலவச ஓப்பன் சோர்ஸ் கருவிகள் கட்டணக் கருவிகளில் பணம் செலவழிப்பதற்கு முன், இந்த 7 இலவச ஓப்பன்-சோர்ஸ் கருவிகளைப் பாருங்கள் 👇 1. Tauri – வலைக் குறியீட்டிலிருந்து உருவாக்கப்படும் இலகுவான, பல இயங்குதளங்களில் (Windows, Mac, Linux) இயங்கும் டெஸ்க்டாப் செயலிகள் 🔗 tauri-apps/tauri 2. Encore – பேக்கெண்ட் எழுதுங்கள், கிளவுட் உள்கட்டமைப்பு அமைப்பைத் தானியங்குபடுத்துங்கள் 🔗 encoredev/encore 3. Bun – வேகமான ஜாவாஸ்கிரிப்ட் ரன்டைம், பண்ட்லர் மற்றும் டிரான்ஸ்பைலர் அனைத்தும் ஒன்றில் 🔗 oven-sh/bun 4. Postiz – AI உள்ளடக்கம் மற்றும் பகுப்பாய்வுகளுடன் சமூக ஊடகப் பதிவுகளைத் திட்டமிடுங்கள் 🔗 gitroomhq/postiz-app 5. Composio – AI ஏஜென்ட்களை GitHub, Slack மற்றும் Gmail போன்ற செயலிகளுடன் இணைக்கவும் 🔗 ComposioHQ/composio 6. Gitpod (இப்போது Ona) – குறியீடு எழுதத் தயாரான ஒரு டெவலப்மென்ட் சூழல் உலாவி 🔗 ona.com 🔗 gitpod-io/gitpod 7. கண்டினியூ – VS கோட் மற்றும் ஜெட்பிரெய்ன்ஸுக்கான ஒரு திறந்த மூல AI கோடிங் உதவியாளர் 🔗 continuedev/continue 📖 முழு கட்டுரை: medium.com இந்தக் கருவிகளில் நீங்கள் எதைப் பயன்படுத்துகிறீர்கள்? கருத்துகளில் எங்களுக்குத் தெரியப்படுத்துங்கள்! 💬 #திறந்தமூலம் #டெவலப்பர்கருவிகள் #நிரலாக்கம் #கோடிங் #குறுகியவை [te] 7 ఉచిత ఓపెన్-సోర్స్ సాధనాలు డబ్బు చెల్లించి కొనే టూల్స్పై ఖర్చు పెట్టే ముందు, ఈ 7 ఉచిత ఓపెన్-సోర్స్ టూల్స్ను చూడండి 👇 1. టౌరీ – వెబ్ కోడ్ నుండి తేలికైన క్రాస్-ప్లాట్ఫామ్ డెస్క్టాప్ యాప్లు (విండోస్, మాక్, లైనక్స్) 🔗 tauri-apps/tauri 2. ఎన్కోర్ – బ్యాకెండ్ రాయండి, క్లౌడ్ ఇన్ఫ్రాస్ట్రక్చర్ సెటప్ను ఆటోమేట్ చేయండి 🔗 encoredev/encore 3. బన్ – వేగవంతమైన జావాస్క్రిప్ట్ రన్టైమ్, బండ్లర్, మరియు ట్రాన్స్పైలర్ అన్నీ ఒకే దానిలో 🔗 oven-sh/bun 4. పోస్టిజ్ – AI కంటెంట్ మరియు అనలిటిక్స్తో సోషల్ మీడియా పోస్ట్లను షెడ్యూల్ చేయండి 🔗 gitroomhq/postiz-app 5. కంపోజియో – GitHub, Slack, మరియు Gmail వంటి యాప్లకు AI ఏజెంట్లను కనెక్ట్ చేయండి 🔗 ComposioHQ/composio 6. గిట్పాడ్ (ఇప్పుడు ఓనా) – కోడ్ చేయడానికి సిద్ధంగా ఉన్న ఒక డెవ్ ఎన్విరాన్మెంట్ బ్రౌజర్ 🔗 ona.com 🔗 gitpod-io/gitpod 7. కంటిన్యూ – VS కోడ్ మరియు జెట్బ్రెయిన్స్ కోసం ఒక ఓపెన్-సోర్స్ AI కోడింగ్ అసిస్టెంట్ 🔗 continuedev/continue 📖 పూర్తి వ్యాసం: medium.com ఈ టూల్స్లో మీరు ఏవి ఉపయోగిస్తారు? కామెంట్స్లో మాకు తెలియజేయండి! 💬 #OpenSource #DeveloperTools #Programming #Coding #Shorts [uk] 7 безкоштовних інструментів з відкритим вихідним кодом Перш ніж витрачати гроші на платні інструменти, ознайомтеся з цими 7 безкоштовними інструментами з відкритим кодом 👇 1. Tauri – Легкі кросплатформні настільні програми (Windows, Mac, Linux) з веб-коду 🔗 tauri-apps/tauri 2. Encore – Пишіть бекенд, автоматизуйте налаштування хмарної інфраструктури 🔗 encoredev/encore 3. Bun – Швидке середовище виконання JavaScript, пакетер та транспілятор в одному 🔗 oven-sh/bun 4. Postiz – Плануйте публікації в соціальних мережах, використовуючи контент та аналітику на основі штучного інтелекту 🔗 gitroomhq/postiz-app 5. Composio – Підключайте агентів штучного інтелекту до таких програм, як GitHub, Slack та Gmail 🔗 ComposioHQ/composio 6. Gitpod (тепер Ona) – Готове до написання коду середовище розробки в браузер 🔗 ona.com 🔗 gitpod-io/gitpod 7. Continue – Помічник з кодування штучного інтелекту з відкритим вихідним кодом для VS Code та JetBrains 🔗 continuedev/continue 📖 Повна стаття: medium.com Яким із цих інструментів користуєтеся ви? Повідомте нам у коментарях! 💬 #ВідкритийВихіднийКод #ІнструментиДляРозробника #Програмування #Кодування #КороткіРубрики
Brotliデコーダ脆弱性（CVE-2026-111497）の影響確認：部品台帳・実体パス・バックポートで判定する !ヘッダ画像 はじめに あきらパパです。Google Brotliのデコーダに境界外書込の脆弱性が公表されました。HTTP2Shell（CVE-2026-111497）の名前で紹介されている件です。識別子と対象範囲は、作業時点の公式告知で照合してください。 本記事は、手元の開発環境で「どこにBrotliデコーダがあり、どれが動き、外部入力が届くか」を整理したい開発者向けです。Node.js、Python、curlを中心に扱います。 - 根拠は2026-10-25 14:51 JSTに確認した公式資料です。 - コマンドは読み取りのみです。更新・削除・再起動のコマンドは載せません。 - 攻撃データによる再現や、侵害有無の判定は扱いません。 - 例はmacOS（zsh）基準です。OS差がある箇所は明記します。 概要 !図1：圧縮データ→解凍処理→アプリ。問題は信頼できない入力が修正前の解凍処理に届く経路 図はすべて概念図です。実測画面ではありません。 Node.jsの告知によると、問題はBrotliデコーダの境界外書込です。細工されたBrotliデータをnode:zlibで解凍する経路が条件で、クラッシュ、メモリ漏えい、RCEの可能性が挙げられています。Node.jsの評価はHighです。nodejs.org 見るべきは形式やライブラリの存在ではなく、攻撃者が制御できる入力が、修正前のデコーダに届く経路です。 修正の根拠になる公式情報 | 対象 | 修正版・根拠 | |---|---| | Node.js 22系 | 22.23.4（当該修正コミットをcherry-pick） | | Google Brotli（上流） | 1.2.1（2026-10-21公開） | | Python Brotli（PyPI） | 1.2.1 | | brotlicffi（PyPI） | 1.2.1.0 | | Bun | 公式アドバイザリの修正情報に従う | | Envoy | 公式アドバイザリ（Brotli decompressorが対象） | | Istio | EnvoyFilter等でBrotli解凍を有効化した利用者に更新案内 | 出典： - Node.js 22.23.4 nodejs.org - Google Brotli 1.2.1 github.com/google/brotli/releases/tag/v1.2.1 - GitHub Reviewed Advisory（Python） advisories/GHSA-9v8h-qqgm-4m35 - Bun github.com/oven-sh/bun/security/advisories/GHSA-6… - Envoy github.com/envoyproxy/envoy/security/advisories/G… - Istio istio.io 注意点です。 - Node.js 22系以外の系列は、本記事では修正版を載せていません。公式告知から辿ってください。 - PyPIのパッケージ版と、上流libbrotliの系列別の修正版は別の番号体系です。 - Istioのページは複数の脆弱性を扱います。ページ全体の深刻度を、Brotli単体のスコアとして読まないでください。 - Patch the Planetのまとめは参考になりますが、検索キャッシュに古い内容が残る場合があります。版番号は個別の公式資料を優先します。patchtheplanet.org 判定は5つに分ける !図3：存在・選択・稼働・入力到達・修正根拠の5確認 | 確認 | 問い | 主な手がかり | |---|---|---| | 存在 | 影響する部品がディスク上にあるか | node_modules、wheel、アプリ同梱 | | 選択 | 実行時にその部品が選ばれるか | PATH、バージョンマネージャ、venv | | 稼働 | いま動くプロセスが使っているか | PID、実体パス、起動時刻 | | 入力到達 | 外部入力がデコーダに届くか | 受信・取得・ファイル展開 | | 修正根拠 | 修正を何で確認できるか | 公式リリース記載、バックポート | 「古い部品を発見」は「RCE成立」ではありません。逆に、実証できないことは安全の証明にもなりません。 部品台帳を作る !図2：アプリ内部の複数部品と別環境。OSや既定Node一つの更新では全体は置換されない OSや既定のNode.jsを1つ更新しても、別の場所のコピーは置き換わりません。層ごとに台帳を作ります。 | 層 | 例 | |---|---| | システム | OS付属のcurl、Homebrew等のパッケージ、共有libbrotli | | 言語ランタイム | nvm／fnm／Volta／mise／asdf等の複数Node.js、Bun、Python（venv、uv、pipx、conda） | | アプリ同梱 | Electron等のデスクトップアプリ、IDE、AIエージェントやMCPの付属ランタイム | | ネイティブ同梱 | 他パッケージのwheelやネイティブ拡張に含まれる別コピー | | 再生成元 | ロックファイル、Dockerfile、CI、コンテナイメージ、キャッシュ | よくある落とし穴です。 - PATH先頭のnodeだけを見て、CLIごとに固定されたNode.jsを見落とす。 - pip showしたPythonと、アプリが使うPythonが別。 - Python Brotliを更新しても、curl-cffiやPillow等のネイティブ部品に同梱された別コピーは変わらない。なお、同梱があっても全読込経路が危険とは限らない。 - ElectronアプリのNode表示番号を、通常のNode.js配布物と機械的に比較する。 読み取り専用で確認するコマンド 以下が返すのは、そのシェルから呼ばれた1つの環境の情報だけです。GUIアプリ、常駐サービス、コンテナ、別のvenvは別途確認が必要です。結果がどうであれ、端末全体の安全は証明できません。 Node.js node -p "JSON.stringify({version: process.version, brotli: process.versions.brotli, execPath: process.execPath}, null, 2)" - version：本体の版です。Node.js公式配布の22系では22.23.4が修正版の例です。ほかの配布元では、その配布元の修正情報も照合します。 - brotli：同梱Brotliの版表示です。バックポートでは修正後も表示が変わらない場合があるため、単独では判定しません。 - execPath：実際に動いたバイナリのパスです。shimではなく実体が出ます。 同名のnodeが複数ないかも見ます。プロジェクトのディレクトリでも確認します。.nvmrcや.tool-versions等の指定が実際に反映されるかは、管理ツールやシェルの設定次第です。ファイルがあるだけで自動的に切り替わるとは限りません。 # macOS / Linux（zsh・bash） which -a node # Windows PowerShell Get-Command node -All Python # macOS / Linux。Windowsでは python3 を py に置き換え python3 -c "import sys; print(sys.executable)" python3 -m pip show Brotli brotlicffi - 1行目で、どのPythonを見ているかを記録します。 - VersionとLocationを見ます。未インストールなら警告が出ます。 - 環境ごとに結果は別です。他パッケージに同梱されたコピーはここには出ません。 curl curl --version 1行目にbrotli/x.y.z、Featuresにbrotliがあれば、Brotliを扱えるビルドです。表示はリンク先ライブラリの版で、配布元のバックポートは反映されないことがあります。 macOSでは、OS付属の/usr/bin/curlとHomebrewのcurl（Apple Siliconは/opt/homebrew、Intelは/usr/local配下）が併存しがちです。 # macOSのみ which -a curl otool -L "$(command -v curl)" | grep -i brotli otool -Lは動的リンクのみ表示します。静的リンクなら出ないため、出ないことは不使用の証明になりません。Linuxではパッケージ管理ツールの情報で確認します。 稼働プロセスと待受 # macOS / Linux。トークン等を含むことがあるため引数は表示しない ps -axo pid,ppid,lstart,comm lsof -nP -iTCP -sTCP:LISTEN - 設定上の既定版と、いま動く実行ファイルは別物です。 - next-server、ワーカー、MCPサーバーなど、名前がnodeでない子プロセスもあります。 - 127.0.0.1の待受と、*や0.0.0.0の待受を分けます。 - 待受がなくても、取得したレスポンスを解凍するクライアント側の経路はあり得ます。 - 権限により、他ユーザーのプロセスは見えないことがあります。 入力到達を見る観点 - 受信：Content-Encoding: brのリクエスト本文を解凍するサーバーやプロキシ。 - 取得：外部から取得したレスポンスを解凍するクライアント（HTTPクライアント、AIエージェントのWeb取得など）。 - ファイル：Brotli圧縮されたファイルやフォント等の展開。 Accept-Encodingからbrを外しても、相手がbrで返した場合の解凍を必ず防げるとは限りません。CDNのレスポンス圧縮を止めても、受信リクエストやクライアント側の解凍は止まりません。緩和するなら、解凍前の拒否やデコーダの無効化まで確認します。 対応の流れと判定表 !図4：調査→判定→承認範囲の更新→再起動→検証→再生成確認 1. 調査：台帳とコマンドで現状を記録する。 2. 判定：5つの確認で分類する。 3. 承認範囲の更新：公式アップデータやパッケージ管理の通常手順で行う。不要なメジャー更新は避ける。 4. 再起動：親だけでなく、子やワーカーも入れ替わったかを見る。 5. 検証：execPathと版、通常の圧縮・解凍などの正常系を確認する。 6. 再生成確認：ロックファイル、Dockerfile、CIの版固定、キャッシュから旧版が戻らないかを見る。 | 分類 | 意味 | |---|---| | 修正済み確認 | 実際に使う部品に修正の根拠がある | | 旧部品確認・到達経路あり | 優先して対応 | | 旧部品確認・到達経路未確認 | 調査と更新を進める | | 影響の疑い | 間接証拠のみ。追加情報が必要 | | 当該経路の対象外 | 根拠と限定範囲を添える | | 未確認 | 理由を添える。低リスク扱いにしない | やらないこと - 業務端末や本番に、攻撃データを投入して確かめる。 - 署名アプリやベンダー管理キャッシュ内のバイナリを手で差し替える。 - 内容を確かめずに一括更新コマンドを流す。 - 調査結果から「侵害されていない」と断定する。 - スコアだけで順位を決める。同時期のPHP2ShellもCVSS 9.2と発表されていますが、単純な比較はしません。php2shell.com Codex／Claude Codeに渡すプロンプト ここまでの手順を、ローカル環境で横断的に進めるためのプロンプトです。既定の実行モードは「ローカル対応まで」で、調査、判定、承認範囲の更新、再起動、検証、残課題の報告までを依頼します。 - 環境を変えずに台帳だけ欲しい場合は、実行モード：ローカル対応までの行を調査のみに書き換えます。 - 対象名とCVEは既定値が入っていますが、調査当日の一次情報で照合させる指示です。修正版番号もハードコードさせません。 - 停止影響が不明なプロセス、OS再起動、削除、本番変更、外部送信は、まとめて確認を求める設計です。 - 出力の一覧表では「未確認」と「残課題」を必ず読みます。共有前に、個人パスや内部URLが残っていないかも確認してください。 あなたは、端末・開発環境・依存ライブラリ・運用中プロセスを横断して調査し、根拠に基づいて修正と検証まで行うセキュリティエンジニアです。 実行モード：ローカル対応まで 対象：HTTP2Shell／CVE-2026-111497 「調査のみ」に変更された場合は環境を変更せず、情報取得と報告に留めてください。 私の環境について、脆弱性のニュースを実機の対応に変えてください。説明や更新候補の列挙で終わらず、対象の特定、影響判定、優先順位、許可された修正、再起動、動作確認、残課題の報告まで進めてください。 対象の脆弱性を別途指定していない場合は、HTTP2Shell／CVE-2026-111497として調査を開始してください。ただし、名前・CVE・影響範囲・修正版を最初から正しいと仮定せず、調査当日の一次情報で検証してください。 **1. 作業範囲と権限** 対象は、このチャットから正当にアクセスできる私の端末とローカル開発環境です。この依頼により、対象ソフトのローカル調査、バックアップ、公式更新、安全で可逆な依存更新、設定修正、影響を把握したローカル補助プロセスの再起動、通常機能の検証を許可します。 私のデータ、認証情報、作業中の変更を保全してください。停止対象と影響を確認できない重要プロセス、作業中アプリ全体の終了、OS再起動、データ削除、本番変更、公開、外部送信、認証・課金・契約操作は、必要な事前調査と具体案を用意してから、必要なものだけまとめて確認してください。許可済みの可逆な作業について同じ確認を繰り返さないでください。 秘密鍵、トークン、Cookie、パスワード、.envの値、認証を含むコマンド引数・プロセス環境を出力・外部送信しないでください。設定ファイルは必要なキーだけ調査し、バックアップに秘密情報が含まれる場合は私的領域に限定してください。 利用可能なツール、アクセス範囲、既存の運用ルールを最初に確認してください。実行権限がない場合は、実行したふりをせず、未確認の範囲と必要な最小手順を提示してください。 **2. 最初に確認する事実** 実際の日時・タイムゾーン、OS、CPUアーキテクチャ、ユーザー権限、実行環境を確認してください。MacのIntel／Apple Silicon／Rosetta、コンテナ／ホスト、遠隔環境を混同しないでください。 ベンダーのセキュリティ情報、公式リリース、修正コミット、公式パッケージ情報を優先し、次を整理してください。 - 脆弱性の実在と正しい識別子。 - 原因となる部品と処理、必要な入力・設定・権限。 - 影響する版、修正済みの版、バックポート、サポート終了系列。 - 確認された被害、公開された実証、理論上の影響の違い。 - 修正が未提供の対象と、有効な緩和策の条件。 SNSの要約、製品名の列挙、「通信するものは全部危険」といった説明をそのまま採用しないでください。CVSSだけで私の端末の危険度を決めないでください。情報に食い違いがあれば、一次情報と不確実性を明示してください。 **3. 棚卸しは実際に使われる経路から** 既存の調査・更新履歴があれば再利用し、現在の状態を確認してください。調査前の状態を記録し、同じ環境を重複して新規扱いしないでください。 次の層を、存在するものから確認してください。 - OS、ブラウザ、デスクトップアプリ、Electron／Chromium／CEF、アプリ別添のNode等。 - Node、Bun、Python、curl、共有ライブラリ、実際に使われるパッケージ管理環境。 - Volta、nodebrew、nvm、fnm、mise、asdf等の既定版・プロジェクト指定・CLI個別指定。 - Homebrew等のシステムパッケージ、uv／pipx、venv、conda、ユーザーsite-packages。 - IDE／AIエージェント／MCPの付属ランタイム、複数世代のバンドル、補助実行ファイル。 - プロジェクトの版固定、ロックファイル、CI、Dockerfile、コンテナイメージ、配布物。 - キャッシュ、旧バージョン、保管コピー、復元時に再利用される依存部品。 PATH上の先頭だけで終わらず、実体パス、シンボリックリンク、シェル・GUI・サービスごとの起動元を追ってください。同名コマンドの別コピーや、CLIごとの固定Nodeを区別してください。 停止中のDockerや未承認の遠隔環境は勝手に起動・変更せず、未確認範囲として示してください。 探索は絞り込みと段階的な追加調査で行い、無関係な巨大キャッシュを繰り返し走査しないでください。走査件数を安全性の証明として扱わないでください。 **4. 実行中プロセスを必ず確認** 設定上の既定版と、現在動いている実行ファイルは別物です。PID、親子関係、起動元、実体バイナリ、ロード済みライブラリ、待受アドレスを必要な範囲で照合してください。 プロセス名がnodeでないからといって除外しないでください。next-server、worker、MCP、ヘルパーなど、名前が変更された子プロセスも確認してください。親に待受がなくても、子が待受していることがあります。 作業ディレクトリだけで公開サーバーと断定しないでください。localhost待受、外部待受、外向き通信、トンネルを分けてください。ソケットがない瞬間の観測だけで、将来も外部入力を扱わないと断定しないでください。 再起動後は、古い親だけでなく古い子・ワーカーが残っていないことを確認してください。PIDは再利用されるため、操作直前に起動時刻・所有者・実体パス・親子関係を再照合してください。 **5. 部品の存在・利用・攻撃経路を分ける** 対象ごとに次の4点を分けて判定してください。 A. 影響する部品が存在するか。 B. その部品が現在選択・ロードされるか。 C. 攻撃者が制御する入力が、その問題の処理に届くか。 D. 修正を含む実装であることを、何で確認できるか。 「古い部品を発見」を「このアプリでRCEが成立」と言い換えないでください。逆に、実証できていないことを安全の証明にもしないでください。 表示バージョンだけで判断せず、公式のバックポート、配布元独自の修正、静的／動的リンク、実際にロードされるライブラリを確認してください。文字列・シンボルの有無は補助根拠であり、単独で安全・脆弱を確定しないでください。 ElectronのNode表示番号と、通常のNode配布物を機械的に比較しないでください。エンジンが利用する依存実装と、別添の独立Nodeを分けて調べてください。製品の一部分が修正済みでも、製品全体を安全扱いしないでください。 **6. HTTP2Shellで特に見落とさない点** Google Brotli由来の問題であることを一次情報で確認したうえで、次の経路を調べてください。 - HTTPリクエスト本文、取得したHTTPレスポンス、ファイル、フォント等の展開。 - Python Brotli／brotlicffiだけでなく、curl-cffi、Pillow／FreeType等のネイティブ部品に同梱された別コピー。 - システム共用libbrotliと、静的リンク・wheel同梱・アプリ内ライブラリの違い。 - アプリ本体、CLI、画像処理、ブラウザ操作等がそれぞれ別のランタイムを持つ可能性。 PythonのBrotliパッケージを更新しただけで、Pillowやcurl-cffiの内部も更新されたとみなさないでください。PillowにBrotliが存在しても、すべての画像読込経路を危険と断定しないでください。 Accept-Encodingからbrを外すだけでは、相手がbrを返す場合の解凍を必ず防げるとは限りません。緩和する場合は、解凍前の拒否または該当デコーダの無効化まで確認してください。CDNのレスポンス圧縮を止めただけで、クライアントや受信リクエストの解凍も止まるとみなさないでください。 過去に知られた修正版番号を恒久的な基準としてハードコードせず、調査当日の公式情報と各配布物の実装を照合してください。 **7. 判定表と優先順位** 各対象を、次のいずれかに分類してください。 - 修正済み確認：実際に使う部品に修正の根拠がある。 - 旧部品確認・到達経路あり：対応を優先する。 - 旧部品確認・到達経路未確認：調査と更新を進める。 - 影響の疑い：間接証拠のみで、確定には追加情報が必要。 - 当該経路の対象外：根拠と限定範囲を示す。 - 未確認：アクセス不可・情報不足などの理由を示す。 対応状態は別の列で「未着手／修正済み・再起動待ち／検証済み／暫定緩和／保留」に分けてください。 優先順位は、外部入力への到達可能性、稼働・選択状態、権限、データの重要性、業務への影響、修正の可逆性で決めてください。「未確認」を自動的に低リスクへ落とさないでください。 **8. 修正の実行** 変更前に、対象、変更内容、期待効果、停止範囲、復元方法を短く提示してください。既に許可されたローカルの可逆な作業は、そのまま実行してください。 公式アップデータ・パッケージ管理の通常手順を優先してください。ダウンロード先と配布元を確認し、可能なら署名、チェックサム、配布メタデータを検証してください。未検証の取得スクリプトを安易に直接実行しないでください。 互換性を保てる修正版を選び、不要なメジャー更新を避けてください。CLI本体、付属ランタイム、Python環境、ネイティブ同梱部品を別々に検証してください。更新コマンドの成功を修正完了にしないでください。 公式最新版にも旧部品が残る場合は、安全な公式配布経路、修正済み依存を使う独立環境、問題のある任意機能の停止などを検討してください。機能を減らす場合は、失われる機能を具体的に説明してください。 署名アプリやベンダー管理キャッシュ内のバイナリ手差し替え、ABI・リンク先変更は通常更新の許可に含めません。必要なら根拠、互換性、復元方法、再生成時の挙動を具体化し、別途確認してください。署名・保護機構を無効化したり、公式修正版に見せるためメタデータを書き換えたりしないでください。 暫定変更には、環境再生成・自動更新による巻戻り、外部ライブラリへの新しい依存、再検査条件を必ず記録してください。利用者の依頼なしに常駐監視や自動化を追加しないでください。 **9. 再起動と動作確認** 設定を変えただけで完了にしないでください。サービス管理方法と起動条件を確認し、保存が必要な作業を守り、対象の親子プロセスを修正版で起動してください。二重起動やポート競合を避けてください。 再起動時は必要な引数・作業場所・設定を保全し、秘密情報を出力しないでください。起動元を理解できないプロセスを機械的に停止しないでください。 実際の起動パス、実行中バイナリ、ロード済みライブラリ、正常応答を確認してください。通常データの圧縮・解凍、ローカルHTTP応答、画像・フォント処理など、変更した機能に合う小さな正常系テストを使ってください。 業務端末や本番に攻撃コードを投入して安全性を証明しようとしないでください。認証情報を伴う外部アクセスや不要な課金テストを行わないでください。必要な検証が通ったら、意味のない追加テストを続けないでください。 **10. 残存コピーと再発条件** 更新前のバイナリ、旧世代のアプリ、キャッシュ、バックアップ、CIの固定指定、過去のコンテナ・配布物を区別してください。 不使用の旧コピーを、稼働中の脆弱サービスと同じ数え方にしないでください。ただし、再選択・復元・再ビルドで旧版が復活する経路は記録してください。削除権限がないものを勝手に消さず、整理候補として示してください。 バックアップは私的な場所に置き、旧実行物を通常のPATH・自動起動から外してください。復元手順には「旧脆弱性も戻る」ことを明記してください。 自分を動かす宿主の停止は証跡と再開手順を保存して最後に行ってください。失敗時は変更を広げず復旧し、脆弱な旧版へ戻した場合は未解決として緩和策を示してください。旧版互換性テストと本番用ビルドを区別し、テスト対象を無断で削らないでください。 **11. 最終成果物** まず結論を短く伝え、次の一覧表を出してください。 対象｜所在・起動元｜変更前｜変更後｜影響判定と根拠｜実施した対応｜検証結果｜残課題｜優先度 続いて、次を簡潔にまとめてください。 - 通常更新で対応完了したもの。 - 暫定対応・機能制限を伴うもの。 - 再起動待ち、未対応、追加権限・ベンダー修正待ちのもの。 - ローカル調査では判断できなかった本番・クラウド・他端末。 - バックアップ場所、復元方法、再発時の確認方法。 - 調査日時、一次情報へのリンク、秘密情報を除いたローカル証跡。 ファイルを作れる場合は、詳細Markdownと対応一覧CSVを保存してリンクしてください。過去の調査スナップショットを現在の事実で上書きせず、今回の実施結果を区別してください。 **12. 完了判定** 「存在する」「選択される」「実行中」「攻撃経路がある」「修正がある」を混同しないでください。 修正完了とする条件は、対象の実行経路で修正済み部品が使われ、必要な再起動が済み、通常機能の検証が通り、今回の対象に未処理の旧経路が残っていないことです。満たせない条件があれば、達成した部分と残った部分を明示してください。 私の環境全体が安全、侵害されていない、すべて対応済みといった包括的な結論を、調査範囲を超えて出さないでください。情報が不足していても調査だけで止まらず、許可された範囲の修正を進め、最後に私が判断すべき事項だけを残してください。 製品数、部品コピー数、環境数、プロセス数を別集計にし、共有版では個人パス・内部URL・秘密情報を伏せてください。まず読み取り中心の調査を開始し、指定モードで許可された対応と検証まで進めてください。 まとめ 「存在」「選択」「稼働」「入力到達」「修正根拠」を分けて記録すると、ニュースを手元の対応に落とし込めます。コマンドの結果は1環境分の事実です。確認できなかった欄は「未確認」と理由を残すことが次の調査につながります。 この記事のもとにした著者のX投稿です。x.com 資料確認日時：2026-10-25 14:51 JST
Bun fixes an HTTP/3 bug that could stall a server with a 20 KB request
I debated putting this editorializing in the title, but: At $work we've been refreshing the Bun release page for days, wondering when they would push the fix. The PR with the change merged over 72 hours ago: github.com/oven-sh/bun/commit/ea6a2c7b7c988626277… I'm not a security expert, but package managers seem uniquely vulnerable to MITM attacks. I don't really see the point of spending $MM in tokens to create a software factory if you can't push security releases out in a timely fashion.