Node.js corrige une faille RCE critique nommée Node2Shell
Les versions 22.23.4, 24.22.1 et 26.12.1 sont disponibles ; la faille, notée High, touche la décompression Brotli de Node.js.
L'équipe Node.js a publié le 21 octobre 2026 des mises à jour de sécurité corrigeant Node2Shell (CVE-2026-111497), une vulnérabilité d'exécution de code à distance de gravité élevée, classée High. L'information a été rapportée par dailysecu.com.
La faille se situe dans la fonctionnalité de décompression Brotli de Node.js et peut provoquer des écritures mémoire hors limites. Les chercheurs d'Imperva ont démontré l'exécution de code à distance dans un environnement réel.
Les services web sous Express 5 peuvent être affectés automatiquement, même lorsque les développeurs n'utilisent pas Brotli directement. La fonction fetch() intégrée à Node.js ainsi que des bibliothèques comme axios peuvent également être exposées lors du traitement de réponses compressées provenant de serveurs externes.
Les versions corrigées sont 22.23.4, 24.22.1 et 26.12.1. Après la mise à jour, les processus Node.js doivent être redémarrés et les images de conteneurs redéployées.
La vulnérabilité a été découverte et signalée par Khai Tran et Sylvie Mayer, d'OpenAI Codex Security.
En bref
Quelles versions de Node.js corrigent Node2Shell ?
Les versions 22.23.4, 24.22.1 et 26.12.1, publiées le 21 octobre 2026.
Que faut-il faire après la mise à jour ?
Redémarrer les processus Node.js et redéployer les images de conteneurs.
Qui a découvert la faille ?
Khai Tran et Sylvie Mayer, d'OpenAI Codex Security.