Node.js publie les mises à jour de sécurité 22.23.4, 24.22.1 et 26.12.1
Les correctifs couvrent 10 vulnérabilités, dont 4 de gravité High, et mettent à jour ca-cert après la compromission d'une autorité intermédiaire d'eMudhra.
Node.js a publié le 21 octobre 2026 (UTC) trois mises à jour de sécurité : v22.23.4, v24.22.1 et v26.12.1. Elles corrigent au total 10 vulnérabilités, réparties en 4 de gravité High, 3 Medium et 3 Low. Selon forest.watch.impress.co.jp, la branche v26 cumule 10 correctifs, la v24 en compte 8 et la v22 en reçoit 7.
La faille la plus critique, CVE-2026-111497, est une écriture hors limites dans le décodeur Brotli de Node.js, qui peut permettre l'exécution de code à distance. CVE-2026-105482 (High) concerne dns.resolve, qui tronque les noms contenant un caractère NUL.
Contournements de validation de certificats TLS
Trois failles de gravité High touchent la validation des certificats TLS. CVE-2026-105483 permet de contourner la vérification du nom d'hôte lorsque l'adresse IP est écrite en chiffres pleine chasse ; elle affecte les branches v26 et v24. CVE-2026-106069 exploite une résolution lâche de l'hôte vers une adresse IP. CVE-2026-106072, de gravité Medium, vise la validation des noms d'hôte IPv4 non canoniques.
Parmi les autres correctifs Medium figurent CVE-2026-105481 (socket keep-alive traitant une réponse écrite avant l'envoi de la requête) et CVE-2026-106074, où crypto.randomUUID() et randomInt() conservent des caches d'entropie dans les snapshots de démarrage et les SEAs, répétant les mêmes valeurs. Trois failles Low complètent la liste, dont deux propres à la v26 : ZipFile (CVE-2026-106070) et le Permission Model (CVE-2026-106071).
La mise à jour intègre aussi de nouvelles dépendances : c-ares 1.34.9, OpenSSL 3.5.9, SQLite 3.53.4 et undici 8.12.2/7.30.1/6.29.1. La mise à jour de ca-cert répond à la compromission d'une autorité de certification intermédiaire d'eMudhra. Cette publication intervient comme annoncé.
En bref
Quelles versions de Node.js corrigent ces vulnérabilités ?
Les versions v22.23.4, v24.22.1 et v26.12.1, publiées le 21 octobre 2026.
Combien de vulnérabilités sont corrigées ?
10 au total, dont 4 High, 3 Medium et 3 Low.
Pourquoi ca-cert a-t-il été mis à jour ?
En raison de la compromission d'une autorité de certification intermédiaire d'eMudhra.