2026年10月Node.js漏洞：Azure DevOps安全指南
内容提要
2026年10月21日，Node.js修复10个漏洞，涉及DNS解析、TLS证书验证及Brotli解压内存破坏（可致代码执行），修复版本为22.23.4、24.22.1和26.12.1。Azure Pipelines需按自托管代理、管道选定Node.js、任务扩展、容器及部署应用分别更新，并核实实际运行版本。微软.NET相应更新修复Brotli漏洞，基线为8.0.33、9.0.22和10.0.14。
延伸解读
漏洞触发条件决定实际风险
文章强调安装修复版本不等于消除暴露。Brotli漏洞需攻击者控制的数据进入受影响解码器；DNS与TLS问题依赖特定证书和解析器条件；HTTP keep-alive问题需复用连接接收非请求数据。读者应结合自身数据流和网络路径判断哪些CVE真正适用，而非仅凭版本号判断安全。
Azure Pipelines需分场景更新
Azure Pipelines中Node.js可能出现在自托管代理、管道选定工具、任务扩展、容器镜像和部署应用等多个位置，更新路径各自独立。自托管代理需按代理池流程升级并核实实际运行版本；管道中NodeTool@0默认不检查最新版，宽范围如24.x可能选中旧缓存补丁，应在步骤内检查node --version和process.execPath。
容器与部署应用不会被代理更新覆盖
文章提醒，主机或PATH更新不会改写镜像内置运行时或已部署产物。使用容器或部署应用的团队需单独更新受影响运行时或镜像输入，重新构建并部署替换版本，再验证运行版本。涉及启动快照和单可执行应用时也应纳入检查，避免只更新代理而遗漏实际承载应用的Node.js。
.NET Brotli修复需区分部署方式
微软.NET安全更新同样覆盖CVE-2026-111497，但仅影响现代.NET，.NET Framework不受该公告影响。修复基线为8.0.33、9.0.22和10.0.14。框架依赖应用需更新共享运行时并重启；自包含应用需重新构建部署；NativeAOT应用需使用修补后的SDK及相关包重新发布，不能仅替换主机环境。
Q&A
2026年10月Node.js修复了哪些安全漏洞？
修复了10个漏洞，涉及DNS解析、TLS证书验证、Brotli解压内存破坏（可致代码执行）、HTTP keep-alive响应处理、启动快照熵、权限模型和ZIP验证等问题。
Node.js漏洞修复版本有哪些？
修复版本为22.23.4、24.22.1和26.12.1，不同CVE影响的分支和先决条件不同。
Azure Pipelines中如何更新自托管代理以修复Node.js漏洞？
使用Agent v5.281.1（2026年10月23日发布），其中包含Node24更新至24.22.1。需通过支持的代理池更新流程，检查产品、操作系统和架构兼容性。对于Azure DevOps On-Prem，遵循对应版本的代理支持，而非普遍安装此代理版本。更新后确认完成，检查任务诊断并验证所选处理程序的二进制/版本。
在Azure Pipelines中如何确保管道使用的Node.js版本已修复？
使用UseNode@1或NodeTool@0任务时，指定已修复的版本或同一主版本线中更高的受支持补丁版本，并保持更新。注意checkLatest默认为false，宽范围如24.x可能选择较旧的缓存补丁。在相关步骤中检查node --version和node -p "process.execPath"以验证实际运行版本。
Brotli漏洞CVE-2026-111497如何影响.NET？如何修复？
该漏洞影响现代.NET，当攻击者控制的Brotli数据通过启用的请求/响应解压或显式Brotli API到达受影响的解码器时可能被利用。.NET Framework不受影响。修复基线为8.0.33、9.0.22和10.0.14。对于框架依赖应用，更新共享运行时并重启；对于自包含应用，重新构建并重新部署；对于NativeAOT应用，使用修补的SDK和适用的编译器/运行时包，然后重新发布和部署。
Azure DevOps Server 2022和25H2是否兼容v5代理？是否有v4补丁？
根据文档，Azure DevOps Server 2022和Azure DevOps Server 25H2与v5代理不兼容。文章未提及是否有v4补丁版本可用。
