Node.js高危漏洞追踪：AI发现的HTTP/2缺陷为何让旧补丁失效？

原创

alex 16小时前阅读数 7 #头条

Node.js高危漏洞追踪：AI发现的HTTP/2缺陷为何让旧补丁失效？

安全公告速览：三条版本线、两个高危CVE

2026年11月11日，Node.js官方发布了一轮安全更新，覆盖26.x、24.x、22.x三条活跃版本线来源：Node.js官方公告。这次更新的信息量不小，但真正吸引我注意的是两个高危CVE，它们都指向同一个方向：HTTP/2和HTTPS这两条Node.js对外的最前线防线，出现了一些旧修复没堵住的缝。

CVE-2026-123863是一个HTTP/2远程中止漏洞，影响24.x和26.x；CVE-2026-123864则是一个HTTPS零长度TLS写入重入漏洞，影响范围更广，22.x、24.x、26.x全中来源：Node.js官方公告。两条都是高危，都允许未认证的远程客户端发起攻击，这就意味着只要你的服务暴露在公网上，对方连登录都不需要就能尝试触发。

除了这两个CVE，公告里还列了依赖更新的范围：llhttp在22.x、24.x、26.x三个版本线都有更新，undici涉及24.x和26.x，sqlite则覆盖22.x和24.x 来源：Node.js官方公告。依赖更新和CVE修复放在一起发，说明这次不只是给协议实现打补丁，底层解析器和HTTP客户端库也被牵扯进来了。

技术拆解：两个高危漏洞如何打破进程边界

先看CVE-2026-123863。这个漏洞的触发路径相当刁钻：任何未认证客户端都可以让一个Http2Stream持有的nghttp2分配的头部缓冲区越过会话的生命周期，当~Http2Session()运行析构时，内存账目不为零，CHECK_EQ(current_nghttp2_memory_, 0)这个断言直接失败，整个进程被终止来源：Node.js官方公告。这是服务端进程级别的崩溃，攻击者不需要猜测什么秘密，只要构造特定的HTTP/2请求序列就行。

更麻烦的是触发条件极低。官方公告明确说，只需要一个默认的http2服务器，且处理器在请求体结束前就响应，这在Node.js里是常见写法。我查了以前的记录，这个漏洞是CVE-2024-27983的变体，之前那个修复只分离了仍被会话跟踪的流，但没覆盖流已经被移除、却未分离的情况来源：Node.js官方公告。也就是说，两年前的补丁留下了半扇门，这次被重新推开了。

CVE-2026-123864走的是另一条路。TLSWrap::DoWrite()在处理零字节写入时直接调用ClearOut()，如果这个写入来自HTTP解析器on_body回调里的JavaScript，ClearOut()会在解析器还在处理请求体中途时解密下一条TLS记录，重入llhttp_execute()，造成use-after-free和越界堆读取来源：Node.js官方公告。然后服务器会把那段已释放或无关的堆内存复制到请求体的响应里，未认证客户端就能读到其他连接的内存，包括TLS私钥和其他用户的请求内容。这个漏洞由Chris Rohlf与Claude和Anthropic Research合作发现，修复由mcollina完成来源：Node.js官方公告。

修复清单与多源交叉验证

官方公告给出了明确的修复清单，除了前面说的llhttp、undici、sqlite依赖更新外，没有其他隐藏项来源：Node.js官方公告。这让我有点在意，因为漏洞本身涉及HTTP/2会话管理和TLS重入，但修复落在依赖库上，说明Node.js核心团队选择在底层库层面解决，而不是在JavaScript层打补丁。这个处理方式是否彻底，我现在不敢下结论，但至少方向上是对的。

HN上有人评论说"Most of the critical ones seem to be in TLS/HTTPS and HTTP/2 handling" 来源：HN评论。这条评论跟官方公告里两个高危CVE的分布正好对上，官方公告侧重描述单个漏洞的影响面，HN讨论则点出了漏洞分布的总体特征，两方交叉验证后可以确认：HTTP/2与HTTPS确实是当前Node.js安全防线最薄弱的两处来源：Node.js官方公告 + 来源：HN评论。

还有一个细节值得单独说。CVE-2026-123863的发现者来自AI研究机构，Claude和Anthropic Research的参与让我意识到，AI辅助安全研究正在进入Node.js生态来源：Node.js官方公告。这不是什么新鲜事，但一个AI发现的高危漏洞，恰好暴露了人类写下的补丁留下了一个变体缺口，这个组合本身就说明了漏洞挖掘的方式在变化。我不确定这种变化是好事还是隐患，但至少它让这次修复的意义超出了单纯的版本号更新。

现在该升级的就升级，别等漏洞被实际利用再后悔。

原文：

Node.js security updates are now available · 来源：Hacker News

参考来源：