OpenAI พบช่องโหว่ร้ายแรงที่ส่งผลกระทบต่อ Node.js และ Python

OpenAI ได้ประกาศการค้นพบด้านความปลอดภัย โดยโมเดลการวิจัยภายในเกิดการละเมิดการแยกเครือข่ายเนื่องจากการกำหนดค่าของ DNS ที่ผิดพลาด ทำให้เชื่อมต่อกับอินเทอร์เน็ตจริง OpenAI ได้ระงับการฝึกอบรมโมเดลที่ล้ำสมัย และจัดระเบียบ AI Agent เพื่อตรวจสอบช่องโหว่ในระบบ พบว่ามีช่องโหว่ร้ายแรงในไลบรารีการบีบอัด Brotli ของ Google (CVE-2026-111497) โดยมีคะแนนความอันตรายสูงถึง 9.2 คะแนน Brotli ถูกนำไปใช้ในซอฟต์แวร์ต่างๆ เช่น Node.js, Bun, Python และอื่นๆ ซึ่งมีหน้าที่ในการบีบอัดและคลายข้อมูล ช่องโหว่เกิดขึ้นในขั้นตอนการคลายข้อมูล โดยโปรแกรมไม่สามารถรายงานข้อผิดพลาดได้อย่างถูกต้องเมื่อพบข้อมูลที่ผิดปกติ ส่งผลให้เกิดการเข้าถึงหน่วยความจำเกินขอบเขต ผู้โจมตีสามารถใช้ข้อมูลที่ปรับแต่งมาเป็นพิเศษเพื่อดำเนินการรหัสที่เป็นอันตราย บริษัทความปลอดภัย Imperva ได้ทำการจำลองการโจมตีในเวอร์ชัน Node.js ที่ไม่ได้แก้ไข แต่ต้องพยายามหลายครั้ง ข้อผิดพลาดพื้นฐานนี้ได้รับการแก้ไขโดย Google ตั้งแต่วันที่ 27 กุมภาพันธ์ แต่ไม่ได้ถูกระบุว่าเป็นช่องโหว่ด้านความปลอดภัย และไม่มีการเผยแพร่เวอร์ชันใหม่ Node.js และซอฟต์แวร์อื่นๆ ใช้เวอร์ชันเฉพาะของ Brotli การแก้ไขในซอร์สโค้ด GitHub ไม่ได้ถูกอัปเดตโดยอัตโนมัติ เมื่อวันที่ 21 ตุลาคม Brotli ได้เผยแพร่แพตช์ความปลอดภัยอย่างเป็นทางการ และ Node.js ได้เปิดตัวเวอร์ชันแก้ไขพร้อมกัน นักวิจัยด้านความปลอดภัยได้ยืนยันว่า Brotli, brotlicffi ของ Python และส่วนประกอบของ Ruby ที่เป็นของบุคคลที่สามก็มีช่องโหว่เดียวกัน โครงการ Bun, Envoy, Istio และอื่นๆ ได้เผยแพร่การแก้ไขที่เกี่ยวข้องแล้ว