北京
漏洞的根因修复要花上几周，但攻击不会等。Sweet Security 宣布推出 Sweet Safety Net，把自家的运行时虚拟补丁保护开放给所有受 HTTP2Shell（CVE-2026-111497）影响的组织。
这项能力允许用户在 30 天内免费阻断针对 Node2Shell 的任何利用尝试，不论对方是不是 Sweet 的客户。按照官方说法，无需采购承诺即可申请。
HTTP2Shell 藏在 Node.js、Bun、Python、Envoy、Istio 内置的 Brotli 解码器里。Sweet 本周自己的研究还发现，Go 框架同样中招，包括 Traefik、Fiber 和 Iris。
这意味着受影响的不是某一个应用，而是大量应用所依赖的运行时和库。要把每一处都打上补丁，需要更新所有受影响的依赖、重新构建打包了解码器的应用、测试改动，再重新部署到生产环境。
对多数组织来说，这一圈走完要几周。而在这几周里，有漏洞的代码一直在跑，一直对攻击者可达。
虚拟补丁怎么补
Sweet 的做法是在运行时做外科手术式的封堵：不等代码改动，而是在攻击载荷抵达脆弱代码路径之前把它拦下，正常流量照常通行。代码里的 bug 还在，但已经无法被利用。
具体执行上，团队从 Sweet 的漏洞目录中应用保护策略，Sweet 再把策略分发到每个运行受影响工作负载的节点传感器上。传感器确认策略生效后，该工作负载会被标记为已受该漏洞保护。
这层保护会跟随工作负载一起伸缩和重启。应用代码不需要做任何改动，团队可以按自己的节奏推进永久修复，不必顶着暴露在外的压力赶工。
Sweet 现有客户已经在保护范围内。其运行时传感器和 L7 检测规则已在所有客户租户中生效，监测环境中已经检测并阻断了利用尝试。
攻击已经在发生
Sweet Security 表示，目前已在 88% 的受监测环境中观察到活跃的利用尝试。
“我们此刻正在真实环境中看到 HTTP2Shell 的利用尝试。”Sweet Security 首席执行官兼联合创始人 Dror Kashti 说，“我们把保护扩展到那些需要帮助、需要保障受影响应用安全的组织。Sweet Safety Net 的存在，是因为每个组织都该拥有和我们客户一样的可见性和保护，尤其是在这样的时刻。虚拟补丁今天就能关掉利用路径，永久修复可以随后跟上。”
从时间线看，这更像是一场和补丁周期的赛跑：根因修复的工期以周计，而攻击尝试已经在多数受监测环境中出现。虚拟补丁填的正是这段空窗。
对运维和工程团队来说，眼下的选择并不复杂：一边是等依赖更新、重建、测试、部署的完整链条走完，一边是先在运行时把利用路径掐断，再从容安排永久修复。
该免费保护自即日起可申请，期限 30 天，无需购买承诺。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
