如果你的網站用 Node.js 提供 API、即時服務或伺服器端渲染，請核對正式環境實際執行的版本。Node.js 在 11 月 11 日發布三條分支的安全更新，涵蓋 HTTP/2 記憶體外洩與資源耗盡、特定 HTTPS 處理流程的資料外洩，以及依主機名稱區分的用戶端憑證驗證問題。
同一分支可直接更新到修補版
| 正在使用的分支 | 本批安全更新 |
|---|---|
| 22.x | 22.23.5 |
| 24.x | 24.22.3 |
| 26.x | 26.13.1 |
先從應用實際執行的容器、服務或主機面板查版本。若你使用自行建置的容器，更新底圖後要重建並重新部署，確認舊副本已退出。
哪些服務需要先查
- Node.js 本身處理 HTTPS。CVE-2026-123864 涉及應用在接收請求內容期間提前送出回應標頭的處理方式。若同一服務還有會回傳或保存請求內容的路由，可能讓未登入的用戶取得其他連線的資料。公告把 22、24、26 三條分支都列為受影響。
- Node.js 提供 HTTP/2。CVE-2026-123865 可能在連線關閉時留下記憶體和檔案描述符，持續消耗資源。CVE-2026-123866 則可能在中止仍有待傳資料的串流時，洩露其他連線的回應資料。兩項均涵蓋三條分支，觸發條件依版本及應用的串流處理而異。
- 按主機名稱設不同的用戶端憑證政策。CVE-2026-123872 涉及 TLS 1.2 重新協商，可能讓已通過較寬鬆政策的用戶進入受較嚴格政策保護的服務。三條分支均列在公告中。這批更新也修補另一項依主機名稱指定用戶端 CA 的驗證問題（CVE-2026-123867）。
若瀏覽器連到 CDN 或反向代理時顯示 HTTP/2，還要查代理到 Node.js 的那一段實際使用甚麼協定。這批也更新部分內建依賴。請按原廠公告逐項核對使用到的功能。原廠公告交代了影響條件，未通報已觀察到的在野利用。
部署後核對實際流量
更新後先在自己的測試環境確認首頁、API 和下載功能能正常回應。有啟用用戶端憑證驗證的站點，請用一張有權限和一張無權限的測試憑證各核對一次。若懷疑舊版曾外洩金鑰或其他連線資料，保留相關紀錄，交由維護者判定哪些憑證需要撤換。
封面為 AI 生成的概念插圖。
