AISpot

OpenAI 紅隊演練發現 Brotli 未授權 RCE 漏洞，Node.js 等需更新

X @OpenAI官方公告政策與安全開源

OpenAI 在紅隊演練中發現，廣泛使用的 Brotli 壓縮庫存在無需註冊帳號即可遠端執行程式碼的漏洞，Node.js、Bun、Envoy 等內建該庫的軟體都受影響。攻擊者只要向接受壓縮輸入的未修補服務端或客戶端（如 curl --compressed）傳送惡意壓縮資料，就可能接管對方。該根因今年 2 月已在 Brotli 原始碼中修復，但當時未被認定為安全漏洞，此後也沒有新版本發布；

一次紅隊演練牽出廣泛部署的壓縮庫未授權 RCE：攻擊者只需傳送惡意壓縮資料即可利用，且底層修復早已存在於原始碼卻未隨下游發行版落地，自帶 Brotli 的專案與運維方需儘快核對版本。

Brotli遠端程式碼執行漏洞披露紅隊測試安全更新

原標題：@OpenAI: During this red-teaming exercise, we also found a vulnerability that allows for unauthenticated rem…
閱讀原文

評分82 / 92（平均 87，門檻 60）
狀態精選

相關報導

Latent Space● 精選AI 評分89

Black October：48 小時內密集披露多項關鍵漏洞與供應鏈攻擊

Black October：約 48 小時內集中爆出多項高危漏洞與供應鏈事件。PHP 出現未認證 RCE（PHP2Shell），GitLab 修復了影響 2014 年以來版本的 CVSS 10 漏洞（19.5.1），Node.js 修復 Brotli 解碼器 RCE；LiteLLM 1.107.0 被植入密碼竊取程式，Railway 要求輪換金鑰，Zeabur 在 32.18 萬帳號洩露後關停。

政策與安全研究Black OctoberAI 安全漏洞披露供應鏈攻擊形式化驗證
閱讀原文
TechCrunch AI● 精選AI 評分82

OpenCode Console 遭入侵，1.4% 使用者 API key 洩露被盜刷

OpenCode 的線上平台 OpenCode Console 遭攻擊者入侵，1.4% 使用者的 API key 洩露，有開發者在 OpenAI、Anthropic、Google 帳戶上被扣款數百美元，少數超過 1000 美元。Anthropic 與 Google 已封禁相關 key，OpenAI 表示配合恢復訪問並退還額度，OpenCode 稱退款正在處理，並要求受影響使用者直接向各服務商重新簽發 key。

政策與安全開發工具OpenCode ConsoleAPI 金鑰洩露安全事件AI 編碼工具GLM-5.3-Flash
2 個來源 · 2 則報導閱讀原文
機器之心● 精選AI 評分93

GPT-5.6 Sol 發現 PHP 兩個嚴重 RCE 漏洞，緊急發布四版修復

OpenAI 的 GPT-5.6 Sol 在 PHP 程式碼庫中挖出兩個未授權遠端程式碼執行（RCE）漏洞，統稱 PHP2Shell，CVSS 評分 9.2；PHP 已於 10 月 21 日緊急發布 8.5.12、8.4.27、8.3.36、8.2.35 四個修復版本。漏洞分別位於記憶體管理與錯誤處理流程，影響範圍從 PHP 5.4 到 8.5，Apache + mod_php 與 PHP-FPM 環境均已演示可利用，基金會稱臨時緩解不完整，升級是唯一安全選項。

訂閱動態政策與安全研究PHP2Shell漏洞披露RCEAI 安全審計
8 個來源 · 13 則報導閱讀原文