2026 年 10 月 21 日 Node.js 发布 22.23.4、24.22.1 与 26.12.1，头条是 CVE-2026-111497——Brotli 解码器里的越界写，公告说它「可导致远程代码执行」；同一版本还修了两个 TLS 证书主机名校验绕过、一个遇到 NUL 字符就截断域名的 DNS 缺陷，并更新了内置 CA 库，而已经停止维护的版本线一个补丁都没有。作者指出，打补丁只是一行版本号的事，找全服务器上真正在跑的 Node 才是工作量。他们发布当天给一台小生产机打补丁，装完新版本才发现：pm2 的条目里写死了旧的可执行文件路径，某个 systemd unit 把旧的 PATH 硬编码在里面，还有一些没想过的子进程，另外两台机器上的 cron 任务用绝对路径指向旧安装——改默认版本，一个都没动。文章给的排查顺序是：列出所有会运行 Node 的地方，逐个迁移，再去 /proc 核对真实二进制——因为进程名不可靠，在他们的构建机上 pgrep node 一个都没找到。