Node.js publie des correctifs de sécurité urgents, dont une faille qui exécute le code des attaquants

Le projet Node.js a publié mercredi 21 octobre des mises à jour de sécurité urgentes, corrigeant 10 vulnérabilités dans l'environnement d'exécution JavaScript qui fait tourner une grande partie des serveurs web, des API et des outils de construction du monde. Les versions corrigées sont 22.23.4, 24.22.1 et 26.12.1. Quatre failles sont classées de gravité élevée, et le projet a répété son avertissement habituel : les versions en fin de vie sont toujours touchées quand une mise à jour de sécurité paraît, et aucun correctif ne viendra pour elles.

La pire des quatre

Le bogue le plus grave, suivi sous le nom CVE-2026-111497, se trouve dans le décodeur Brotli fourni avec Node.js. Brotli est un format de compression utilisé dans tout le web. Des données compressées malformées peuvent forcer le décodeur à écrire en dehors de sa zone mémoire prévue, et des chercheurs ont montré que la faille peut aller jusqu'à l'exécution de code à distance, avec les permissions du processus Node.js lui même. Tout dépend de l'exposition : Node.js ne décode pas Brotli de lui même. Un serveur est en danger quand son code, ou une bibliothèque qu'il utilise, décompresse des données Brotli contrôlées par un attaquant, dans une requête qu'il reçoit ou dans une réponse qu'il va chercher ailleurs.

Des contrôles d'identité faussés

Deux autres failles de gravité élevée, CVE-2026-105483 et CVE-2026-106069, affaiblissent la vérification du nom d'hôte des certificats TLS, le contrôle qui confirme qu'un serveur est bien celui qu'il prétend être. Des façons inhabituelles d'écrire une adresse IP, dont une qui utilise des chiffres pleine largeur, pouvaient faire passer un mauvais certificat. Une quatrième faille, CVE-2026-105482, force le résolveur DNS à tronquer les noms qui contiennent un caractère NUL. Les autres correctifs touchent des confusions HTTP keep-alive, des valeurs aléatoires répétées dans les instantanés de démarrage, la gestion des ZIP et les contrôles de permissions.

Un nettoyage discret de certificats

La même version met à jour le paquet d'autorités de certification de confiance livré avec Node.js, en retirant la confiance envers les certificats liés à l'autorité intermédiaire eMudhra compromise. Mozilla, Google et Apple avaient bloqué ces certificats entre le 17 et le 19 octobre après la révélation de la compromission des clés eMudhra, un dossier que les autorités indiennes examinent toujours. Les applications Node.js refuseront désormais aussi les certificats touchés.

Qui doit bouger

Toute équipe qui fait tourner Node.js 22, 24 ou 26 en production devrait installer les versions corrigées et redémarrer ses services, car une mise à jour ne change pas un processus déjà en cours. Les équipes encore sur Node.js 20 ou plus ancien ont un problème plus dur : ces lignes sont arrivées en fin de vie, Node 20 le 30 avril 2026, et elles ne recevront jamais ces correctifs. Pour elles, la seule option sûre est de passer à une ligne encore soutenue.