La société de sécurité Tiori publie un guide d'urgence pour Node2Shell
Tiori a vérifié la vulnérabilité Node2Shell (CVE-2026-111497) touchant Node.js et recommande les versions 22.23.4, 24.22.1 ou 26.12.1.
La société de sécurité Tiori a publié le 26 octobre 2026 un guide de réponse d'urgence destiné aux entreprises après avoir mené sa propre vérification de Node2Shell (CVE-2026-111497), une vulnérabilité affectant le runtime Node.js.
Node2Shell provient d'un défaut d'écriture hors limites dans le module de décompression Brotli de Node.js. D'après les faits publiés, un attaquant peut envoyer des données Brotli trafiquées sans authentification pour provoquer l'arrêt du serveur, exposer de la mémoire ou exécuter du code à distance.
Le niveau de gravité officiel de Node.js est classé « élevé ». Les versions concernées sont les branches Node.js 22.x, 24.x et 26.x qui n'ont pas reçu le dernier correctif de sécurité.
L'équipe sécurité de Node.js a déployé des correctifs et recommande de mettre à jour vers les versions 22.23.4, 24.22.1 ou 26.12.1 au minimum. Le guide de Tiori propose aussi des mesures d'atténuation temporaires au niveau d'un reverse proxy comme Nginx ou de l'application.
Tiori exploite par ailleurs nodejsguard.io, un service de diagnostic en ligne gratuit qui évalue le risque d'exposition à la vulnérabilité à partir de la seule adresse du service. L'analyse détaillée et les consignes de vérification sont disponibles sur le blog technique officiel de Xint, selon dailysecu.com.
En bref
Quelles versions de Node.js sont concernées par Node2Shell ?
Les branches Node.js 22.x, 24.x et 26.x qui n'ont pas reçu le dernier correctif de sécurité.
Quelles versions faut-il installer ?
L'équipe sécurité de Node.js recommande les versions 22.23.4, 24.22.1 ou 26.12.1 au minimum.
Où vérifier son exposition à la vulnérabilité ?
Tiori propose le service de diagnostic en ligne gratuit nodejsguard.io ; l'analyse détaillée figure sur le blog technique de Xint.