數位發展部資通安全署（資安署）於 10 月 22 日發布新聞稿指出，開源執行環境 Node.js 與程式語言 Go 於 10 月 21 日緊急釋出安全性更新，呼籲各機關與企業儘速完成版本更新與重新編譯部署。資安署已透過資安警訊與國家資安資訊分享與分析中心（N-ISAC）等聯防網絡，要求各級公務機關及關鍵基礎設施限期完成清查與修補。
資安署啟動聯防通報
資安署表示，Node.js 與 Go 都是業界廣泛應用的開源執行環境，因此在第一時間透過資安警訊與 N-ISAC 等聯防網絡發出通知，要求各級公務機關及關鍵基礎設施限期完成清查與修補，同時呼籲企業一併儘速更新。
Node.js 修補 10 項漏洞，4 項為高風險
資安署指出，Node.js 廣泛應用於現代網頁前端工具鏈、後端微服務架構與各類 API 伺服器。本次 Node.js 官方共修補 10 項資安漏洞，其中 4 項屬高風險（High）等級。
最受矚目的是編號 CVE-2026-111497 的漏洞，存在於 Brotli 解碼器。該漏洞因邊界外寫入（Out-of-bounds Write）缺陷，攻擊者可藉由惡意構造的請求觸發記憶體損壞，進而達成遠端執行程式碼（RCE）。
此外，本次更新也同步修復 TLS 憑證驗證繞過、DNS 解析異常，以及權限模型（Permission Model）繞過等核心安全問題。Node.js 官方已釋出安全修復版本 22.23.4、24.22.1 及 26.12.1，資安署要求各單位檢視伺服器主機與容器化映像檔（Docker Images），並完成升級。
Go 新版封鎖受影響的中間憑證
在 Go 語言方面，資安署說明，本次安全更新主要是因應近期印度憑證授權中心發生 8 個已知私鑰外洩的重大資安事件。為防範憑證遭惡意利用而引發中間人攻擊（MitM），Go 官方已在新版本 Go 1.27.3 與 Go 1.26.10 中，將受影響的中間憑證（Intermediate CA）強制加入攔截清單，杜絕信任鏈遭突破的風險。
相關文章：印度憑證機構「eMudhra」八把中繼 CA 金鑰外洩，Chrome、Firefox 與 Apple、Microsoft 緊急封鎖相關憑證
升級工具鏈後仍須重新編譯
資安署特別提醒，與直譯式語言不同，使用 Go 開發的系統在防護處置上有其特殊性。開發團隊升級本機或伺服器的工具鏈（Toolchain）之後，必須針對現有的 Go 應用程式進行重新編譯（Recompile）並重新部署，憑證攔截機制才會正式寫入執行檔並生效。
資安署強調，若僅更新環境而未重新編譯，系統將持續處於曝險狀態。資安署建議的處置重點：
- Node.js 使用者：升級至 22.23.4、24.22.1 或 26.12.1，並檢視伺服器主機與容器化映像檔
- Go 使用者：升級至 Go 1.27.3 或 Go 1.26.10，並重新編譯、重新部署現有應用程式
- 公務機關與關鍵基礎設施：依資安署要求，限期完成清查與修補