Node.js與Go修補漏洞　資安署籲公私部門加速更新

（中央社記者 趙敏雅 台北22日電）數發部資安署今天表示，開源執行環境Node.js與程式語言Go昨天緊急發布安全性更新，防範遠端執行與憑證攔截等風險，各機關與企業應盡速完成版本更新與重新編譯部署。

資安署指出，Node.js廣泛應用於現代網頁前端工具鏈、後端微服務架構與各類API伺服器。這次Node.js共修補10項資安漏洞，其中4項屬高風險等級。最受矚目的CVE-2026-111497漏洞存在於Brotli解碼器中，因邊界外寫入（Out-of-bounds Write）缺陷，攻擊者可藉由惡意構造的請求觸發記憶體損壞，進而達成遠端執行程式碼（RCE）。

資安署表示，Node.js這次更新也修復TLS憑證驗證繞過、DNS解析異常及權限模型（Permission Model）繞過等核心安全問題。官方已釋出安全修復版本（Node.js 22.23.4、24.22.1 及 26.12.1），各單位應立即檢視伺服器主機與容器化映像檔並完成升級。

對於Go緊急安全更新，資安署說明，官方這次主要因應印度憑證授權中心發生8個已知私鑰外洩的重大資安事件。為防範憑證遭惡意利用而引發中間人攻擊（MitM），Go已於新版本（Go 1.27.3 與 Go 1.26.10）中，將受影響的中間憑證強制加入攔截清單，杜絕信任鏈遭突破的風險。

資安署提醒，與直譯式語言不同，使用Go語言開發的系統在防護處置上有其特殊性。開發團隊在升級本機或伺服器的工具鏈後，務必針對現有的Go應用程式進行重新編譯並重新部署，該憑證安全攔截機制才能正式寫入執行檔並生效。若僅更新環境而未重新編譯，系統將持續處於曝險狀態。

資安署表示，Node.js與Go都是廣受業界應用的開源執行環境，資安署已於第一時間透過資安警訊與國家資安資訊分享與分析中心（N-ISAC）等聯防網絡，要求各級公務機關及關鍵基礎設施限期完成清查與修補。（編輯：潘羿菁）1151022

選擇與事實站在一起，您的每一份贊助，都是守護新聞自由的力量

下載中央社「一手新聞」APP，即時掌握最新消息

本網站之文字、圖片及影音，非經授權，不得轉載、公開播送或公開傳輸及利用。