新闻笔记 · IDAEO AI News新闻正文
中央消息
（中央社记者 赵敏雅 台北22日电）数发部资安署今天表示，开源运行环境Node.js与编程语言Go昨天紧急发布安全性更新，防范远程运行与凭证拦截等风险，各机关与企业应尽速完成版本更新与重新编译部署。
资安署指出，Node.js广泛应用于现代网页前端工具链、后端微服务架构与各类API服务器。这次Node.js共修补10项资安漏洞，其中4项属高风险等级。最受瞩目的CVE-2026-111497漏洞存在于Brotli解码器中，因边界外写入（Out-of-bounds Write）缺陷，攻击者可借由恶意构造的请求触发内存损坏，进而达成远程运行代码（RCE）。
资安署表示，Node.js这次更新也修复TLS凭证验证绕过、DNS解析异常及权限模型（Permission Model）绕过等内核安全问题。官方已发布安全修复版本（Node.js 22.23.4、24.22.1 及 26.12.1），各单位应立即查看服务器主机与容器化映像档并完成升级。
对于Go紧急安全更新，资安署说明，官方这次主要因应印度凭证授权中心发生8个已知私钥外泄的重大资安事件。为防范凭证遭恶意利用而引发中间人攻击（MitM），Go已于新版本（Go 1.27.3 与 Go 1.26.10）中，将受影响的中间凭证强制加入拦截清单，杜绝信任链遭突破的风险。
资安署提醒，与直译式语言不同，使用Go语言开发的系统在防护处置上有其特殊性。开发团队在升级本机或服务器的工具链后，务必针对现有的Go应用程序进行重新编译并重新部署，该凭证安全拦截机制才能正式写入运行档并生效。若仅更新环境而未重新编译，系统将持续处于曝险状态。
资安署表示，Node.js与Go都是广受业界应用的开源运行环境，资安署已于第一时间通过资安警讯与国家资安信息分享与分析中心（N-ISAC）等联防网络，要求各级公务机关及关键基础设施限期完成清查与修补。（编辑：潘羿菁）1151022
选择与事实站在一起，您的每一份赞助，都是守护新闻自由的力量
下载中央社「一手新闻」APP，即时掌握最新消息
本网站之文本、图片及影音，非经授权，不得转载、公开播送或公开传输及利用。