每日简报
Node.js远程代码执行背后的Brotli解码器缺陷也影响Bun、Python和其他广泛使用的语言……
今天的简报涵盖了广泛存在的 Brotli 解码器漏洞、LiteLLM 中的供应链泄露以及 CISA 标记的新活跃漏洞。
5 条新闻阅读需 1 分钟
软件供应链风险和未修补的基础设施漏洞是当今安全发展的主要驱动力。依赖开源组件和企业级设备的组织面临着紧迫的维护任务。
首先，谷歌 Brotli 解码器中的一个内存损坏漏洞会影响包括 Node.js、Bun、Python 和 Envoy 在内的广泛使用的软件生态系统。与此同时，CISA 已将 Collabora Online 和 Arista VeloCloud Orchestrator 中已被积极利用的漏洞添加到其“已知已利用漏洞”目录中。
安全团队应立即审核开发人员存储库中暴露的密钥，为 CISA 目录中列出的边界系统应用供应商补丁，并更新跨环境的 Brotli 依赖项。
泄露的 LiteLLM 主密钥使攻击者能够窃取 GitHub 令牌并劫持发布管道
2026年5月下旬，一个代理平台主密钥在公开的GitHub代码库（LiteLLM-Labs/lite-harness）中泄露，攻击者利用该密钥窃取了GitHub令牌。随后，攻击者利用窃取的访问权限劫持了LiteLLM的发布流程，并发布了恶意版本的Python软件包。
- 应对措施
- 轮换暴露的 API 密钥和 GitHub 令牌，审核 CI/CD 发布管道，并验证 LiteLLM 包的完整性。
CISA 指出 Collabora Online 和 Arista VeloCloud 中存在两个已被积极利用的严重漏洞
CISA已将Collabora Online内置CODE服务器中的CVE-2026-110447和Arista VeloCloud Orchestrator中的CVE-2026-114625漏洞添加到其已知已利用漏洞目录中，此前这两个漏洞已被实际利用。这两个漏洞分别允许操作系统命令注入和SQL注入。
- 应对措施
- 将 Collabora Online 内置 CODE 服务器更新到 26.4.303 或更高版本，并应用 Arista VeloCloud Orchestrator 的补丁。
Node.js远程代码执行背后的Brotli解码器缺陷也影响Bun、Python和其他广泛使用的软件
Google 的 Brotli 解码器存在内存损坏缺陷，许多解压缩 Brotli 压缩数据的程序都存在该缺陷，其中包括 Bun、Python Brotli 和 brotlicffi 包，以及设置用于解压缩 Brotli 的 Envoy 代理。
- 为何重要
- 由于每个受影响的应用程序都捆绑了自己的 Google Brotli 解码器副本，因此依赖这些运行时和代理的组织必须跟踪并应用各个供应商的更新，以防止代码执行。
- 应对措施
- 将受影响的运行时和软件包（包括 Bun、Envoy 和 Python Brotli 依赖项）更新到已修补的版本。
谷歌称，与人工智能搜索共享的Gmail和照片数据可能用于定向广告。
谷歌于 2026 年 10 月 16 日更新了其隐私政策，明确表示通过 Google Photos、Gmail 和 Drive 与搜索或 Gemini Apps 中的 AI 功能共享的数据可能会被处理，以投放定向广告。
- 为何重要
- 将个人或 Workspace 数据集成到 Google 搜索和 Gemini AI 功能中的用户和组织可能会将 Gmail、照片和云端硬盘中的内容暴露给个性化广告定向。
- 应对措施
- 检查 Google 帐户隐私设置，以限制 Workspace 应用和 Search/Gemini 之间的跨服务数据共享。
研究人员推送超过200万次更新，远程禁用可能助长僵尸网络的Popcorn Time更新程序。
荷兰安全公司 Eye Security 执行了“IXIM 行动”，通过远程更新推送了超过两百万次，禁用了已弃用的 Time4Popcorn 应用程序中一个存在漏洞的后台更新程序 (Updater.exe)。该更新程序查询的未注册域名存在被大规模僵尸网络劫持的风险。
- 应对措施
- 查找并移除未经授权的旧版软件，例如 Time4Popcorn，并阻止与未经验证的更新域的连接。
要点摘要
- 更新 Node.js、Bun、Python 和 Envoy 中的 Brotli 解码器实现，以修复内存损坏漏洞 CVE-2026-111497。
- 根据 CISA 警告，对 Collabora Online 内置 CODE 服务器 (CVE-2026-110447) 和 Arista VeloCloud Orchestrator (CVE-2026-114625) 进行修补。