RecodeX 重构消息，安全公司Imperva演示了名为“Node2Shell”的概念验证攻击：向Node.js内置的Brotli解码器输入精心构造的数据，即可在官方Node.js 24.22.0的Linux arm64镜像上运行攻击者提供的代码，全程无需调试器或自定义构建。该漏洞编号为CVE-2026-111497，Node.js已披露该缺陷。