Après PHP, c'est au tour de Node.js de sortir une salve de correctifs. Et cette fois, il y a une RCE dans le lot.
Le 21 octobre 2026, le projet Node.js a publié des correctifs pour les branches 26.x, 24.x et 22.x : 10 CVE au total, dont 4 classées high.
La plus sale, c'est la CVE-2026-111497 : une écriture hors limites dans le décodeur Brotli qui permet une exécution de code à distance.
Brotli, vous en avez partout dès que vous décompressez une réponse HTTP. Ajoutez à ça deux contournements de la vérification du hostname TLS (IP écrite en chiffres pleine largeur, ou hostname qui se résout "approximativement" en IP), un dns.resolve qui tronque les noms contenant un caractère NUL, et des caches d'entropie de crypto.randomUUID() et randomInt() embarqués dans les snapshots et les SEA, donc chaque process ressort les mêmes valeurs. Si vous générez des tokens ou des identifiants avec ça dans un binaire packagé, je vous laisse imaginer.
Je vous avoue que la faille PHP m'a refroidi, donc je n'ai pas attendu : j'ai migré mes services dans la foulée. Et je vous conseille de faire pareil, sans attendre le prochain sprint. Les versions à installer :
- Node.js 22.23.4
- Node.js 24.22.1 (LTS)
- Node.js 26.12.1 (Current)
Et si vous êtes encore sur une branche en fin de vie (20.x ou avant), le projet le rappelle clairement : les versions EOL sont toujours affectées et ne recevront rien. Là, ce n'est plus une mise à jour, c'est une migration, et elle aurait dû être faite depuis longtemps.
