产业观察🔥7.0
Node2Shell演进为HTTP2Shell，影响范围波及众多HTTP库与应用
原标题: Node2Shell演进为HTTP2Shell，影响范围波及众多HTTP库与应用
📋总体概括
安全公司Aikido披露，此前影响Node.js生态的Node2Shell漏洞已演进为HTTP2Shell，影响范围从JS生态扩展到Python等多个语言的HTTP库与应用，Brotli等依赖受波及，并分配CVE编号CVE-2026-111497。该漏洞通过HTTP请求内容触发Shell命令注入，意味着任何处理不可信HTTP数据的程序都可能成为攻击入口。消息在Hacker News曝光，但目前关注度和讨论量尚低，实际波及面有待进一步验证与披露。
⚡关键信息
- ▸Node2Shell漏洞演进为HTTP2Shell，攻击面从Node.js扩展至HTTP协议层面
- ▸Brotli等Python相关依赖被确认存在风险
- ▸漏洞已获CVE编号CVE-2026-111497
- ▸披露方为安全公司Aikido，详情发布于其官方博客
- ▸Hacker News相关讨论帖目前仅5分、0评论，热度尚低
🔥犀利点评
供应链安全最怕的不是漏洞本身，而是漏洞的传染路径。Node2Shell变HTTP2Shell意味着问题不再绑定某一门语言，而是绑定了所有人都绕不开的HTTP协议——这才是真正的杀伤逻辑。当然，目前披露细节有限、HN上几乎无人讨论，CVE编号也需核实真实性，企业在打补丁前别被标题吓到，但供应链侧必须把这个当真。
📰 相关资讯（与本文相关的其他资讯）
本文由本站自动聚合，以下为原始来源：前往 Hacker News 阅读全文 →