Esri 发布针对 ArcGIS 用户的安全警示

前几天小编写过《AI漏洞大屠杀，你的 GIS 系统还好吗？》，里面介绍了被 OpenAI 扫出来的 Node.js 漏洞 CVE-2026-111497。这个漏洞影响范围开始扩大，10 月 27 日，Esri 发布了针对 ArcGIS 用户的安全警示，小编整理了下目前官方公布的影响范围及处理方法，大家记得及时升级。

关于CVE-2026-111497

CVE-2026-111497 出现在 Google 的 Brotli 解码器上，受影响版本是 1.0.3 到 1.2.0。Brotli 是一种通用压缩算法，网页和接口里常见的 Content-Encoding: br 就是使用了它，目前 Node.js 和 .NET 都同时受到影响。

10 月 22 日，OpenAI 的安全研究人员公开了 Google Brotli 解码器上的严重漏洞，大家把它称之为 Node2Shell、Broccoli2Shell，也有人叫 HTTP2Shell。10 月 27 日，这条漏洞进入美国 CISA 的已知被利用漏洞目录。

对 ESRI 的影响

目前 ESRI 官方给出的回复是各产品线还在排查，针对目前已经明确受影响的 .NET Runtime，用户需要先进行升级。

目前已知受影响的产品有：ArcGIS Pro、基于 IIS 的 ArcGIS Web Adaptor，以及 ArcGIS Server。这些产品使用的是客户自己安装的 Microsoft .NET Runtime，所以需要用户自己更新版本。

更新地址：

https://devblogs.microsoft.com/dotnet/dotnet-october-2026-oob-security-updates/#download-the-updates

PS：使用 GeoScene 的等其他依赖 .Net Runtime 的软件的小伙伴也记得升级一下。

另外ArcGIS Online 相关涉及的漏洞 Esri 已处理，其他受影响的组件还要等 ESRI 排查。

其他安全公告

另外针对小编之前文章《AI漏洞大屠杀，你的 GIS 系统还好吗？》里的PHP漏洞，ESRI 也做出了回复，目前 ArcGIS 产品线没有使用 PHP，用户只需要升级自己业务系统里用的 PHP 即可。

另外还发布了补丁包 ArcGIS Server Security 2026 Update 3 Patch、ArcGIS Velocity for ArcGIS Enterprise 12.1 Patch 1，大家有用到的也抓紧升级。

总结

我们地理信息行业是对安全极其敏感的领域之一，尤其在国内，请大家不要放松警惕，当然你的业务如果都在内网且后续也绝不会公开，就当我没说吧...

参考

1. Esri，Brotli Decoder Vulnerabilities：https://www.esri.com/arcgis-blog/products/trust-arcgis/administration/brotli-vulnerabilities-broccoli2shell
2. Esri，October 2026 ArcGIS Security Bulletin：https://www.esri.com/arcgis-blog/products/trust-arcgis/administration/october-2026-arcgis-security-bulletin
3. Esri，Recent PHP Vulnerabilities：https://www.esri.com/arcgis-blog/products/trust-arcgis/administration/recent-php-vulnerabilities
4. ESRIジャパン，Brotli の脆弱性に関する ArcGIS への影響について：https://support.esrij.com/news/37711
5. Microsoft，.NET October 2026 Out-of-Band Security Updates：https://devblogs.microsoft.com/dotnet/dotnet-october-2026-oob-security-updates/
6. CISA 已知被利用漏洞目录：https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search=CVE-2026-111497