Node2Shell (CVE-2026-111497) : une faille Brotli dans Node.js, Python, Bun et Envoy. Versions corrigées, correctif Python discret, et la chasse à chaque copie.
La semaine du 21 octobre 2026 a offert à l’internet deux vulnérabilités majeures, mais l’attention s’est concentrée sur une seule d’entre elles. Pendant que tout le monde regardait PHP, une seule faille dans une bibliothèque de compression mettait discrètement sur la même liste de correctifs les applications Node.js, les environnements Python, les proxys et les maillages de services. Son nom est Node2Shell. Son CVE est CVE-2026-111497. Et le plus dérangeant n’est pas la faille elle-même — c’est le nombre d’endroits où le même code défectueux se cache.
En 30 secondes
- CVE-2026-111497 est une écriture hors limites dans le décodeur Brotli, une bibliothèque C intégrée dans Node.js, des paquets Python, Bun, curl, Envoy, Istio et bien d’autres. Node.js la classe de gravité élevée et affirme qu’elle permet l’exécution de code à distance.
- « HTTP2Shell » est le même CVE sous un deuxième surnom, pas une deuxième faille.
- Des versions corrigées existent pour chaque foyer majeur de la faille — mais les correctifs Python ont été publiés discrètement, sans aucune mention de vulnérabilité dans les notes de version, si bien que les scanners peuvent les manquer. Trouver chaque copie que vous intégrez est le vrai travail.
Sommaire : Un seul décodeur, la moitié de la plomberie de l’internet · La semaine en revue · Où la faille vit réellement · Le correctif Python que personne n’a annoncé · Qui doit s’inquiéter en premier · Trouvez chaque Brotli que vous intégrez · Quatre vérifications à faire aujourd’hui · Votre semaine, dans l’ordre · Cinq questions, des réponses directes · Lectures liées · Commencez par la copie que vous oublieriez
Brotli est un format de compression. Quand un serveur vous envoie une page web, ou que votre application récupère des données d’un autre service, les données sont souvent compressées avec Brotli d’abord, puis décompressées à l’arrivée. La décompression est assurée par une petite bibliothèque C rapide qu’un nombre remarquable de projets intègrent simplement, plutôt que d’écrire la leur.
CVE-2026-111497 est une écriture hors limites dans ce décodeur : des données compressées spécialement conçues peuvent amener le décodeur à écrire au-delà de la mémoire qui lui a été attribuée. Node.js classe la faille de gravité élevée et affirme qu’elle permet l’exécution de code à distance. Comme la décompression a généralement lieu avant toute vérification de connexion de l’application — le serveur doit décompresser la requête avant de pouvoir la lire — une charge utile conçue peut atteindre le code natif très tôt, là où une erreur JavaScript ne vous sauverait jamais.
C’est pourquoi le nom compte moins que la bibliothèque. Appelez-la Node2Shell, appelez-la HTTP2Shell — les deux surnoms désignent le même CVE, le même décodeur, le même correctif. Si vous traitez les deux noms comme deux problèmes, vous corrigerez une liste et en manquerez une autre. Il n’y a qu’une seule liste, et elle est plus longue que les notes de version de Node.js ne le laissent croire.
L’histoire jumelle de la même semaine vaut la peine d’être lue à côté de celle-ci : PHP2Shell : les failles PHP d’octobre 2026 et la vérification de 15 minutes pour votre site Web. Même semaine, autre environnement d’exécution, même leçon — la couche sous votre code a besoin de son propre correctif.
Date (2026) | Ce qui s’est passé |
|---|---|
21 octobre | Node.js publie les versions de sécurité 22.23.4, 24.22.1 et 26.12.1, corrigeant 10 CVE — quatre de gravité élevée, trois moyennes, trois faibles selon la couverture secondaire de la version. Le correctif principal est CVE-2026-111497. |
21 octobre | Brotli publie les versions corrigées 1.2.1, 1.1.1 et 1.0.10 ; le même correctif arrive dans Bun 1.4.4 et dans les images Docker officielles de Node.js. |
22 octobre | Une preuve de concept publique apparaît, et des chercheurs signalent une exécution de code sur une version Node.js 24.22.0 non modifiée, en conditions de laboratoire. |
23 octobre | OpenAI déclare avoir trouvé la faille lors d’un exercice de red team, et note qu’elle fonctionne dans les deux sens : un client malveillant contre un serveur, et un serveur malveillant contre un client tel que curl --compressed. Le surnom « HTTP2Shell » commence à circuler pour le même CVE. |
23 octobre, 22 h 00 UTC | Le CVE ne figure pas dans le fichier des vulnérabilités exploitées de la CISA, et aucune exploitation dans la nature n’a été signalée. C’est le statut honnête — ce n’est pas la même chose que d’être en sécurité. |
Voici le tableau auquel comparer votre pile. Une « version corrigée » désigne ici la version qui contient le décodeur corrigé — toute version antérieure de la même ligne contient toujours la faille.
Foyer de la faille | Version corrigée | Notes |
|---|---|---|
Node.js 22.x | 22.23.4 | Corrige aussi des contournements de vérification de nom d’hôte TLS (CVE-2026-105483, CVE-2026-106069) et une faille de troncature DNS (CVE-2026-105482). |
Node.js 24.x | 24.22.1 | Mêmes correctifs compagnons que 22.x, plus des mises à jour de dépendances intégrées. |
Node.js 26.x | 26.12.1 | Mêmes correctifs compagnons que 22.x, plus des mises à jour de dépendances intégrées. |
Node.js 20.x et antérieures | Aucun correctif | Node 20 a atteint sa fin de vie le 30 avril 2026. La seule option est de monter vers 22, 24 ou 26. |
libbrotli (la bibliothèque C elle-même) | 1.2.1 | Aussi corrigée en 1.0.10 et 1.1.1 pour les lignes plus anciennes. |
Paquet Python Brotli | 1.2.1 | Avis PYSEC-2026-4322 ; avis GitHub GHSA-9v8h-qqgm-4m35. |
Paquet Python brotlicffi | 1.2.1.0 | Avis PYSEC-2026-4323. |
Bun | 1.4.4 | Les versions antérieures à 1.4.4 sont touchées. |
curl / libcurl | Mettre à jour la dépendance Brotli vers 1.2.1, ou prendre un paquet corrigé du fournisseur | curl n’intègre rien à corriger sur place — son Brotli vient de la dépendance. |
Envoy | 1.40.0 / 1.39.3 / 1.38.6 / 1.37.8 | Choisissez le correctif de la ligne que vous utilisez. |
Istio | 1.29.9 / 1.30.6 / 1.31.2 | Choisissez le correctif de la ligne que vous utilisez. |
La version actualise aussi des dépendances intégrées (c-ares, OpenSSL, SQLite, Undici) et retire la confiance accordée au certificat intermédiaire eMudhra compromis — utile, mais rien de tout cela ne remplace le correctif du décodeur.
Voici le détail qui distingue cette histoire d’un mardi de correctifs ordinaire. Les correctifs Python — Brotli 1.2.1 et brotlicffi 1.2.1.0 — ont été publiés discrètement, sans aucune mention de vulnérabilité dans leurs notes de version. Les avis (PYSEC-2026-4322, PYSEC-2026-4323) existent, mais une équipe qui lit les notes de version, ou qui s’appuie sur un scanner dont la base de données n’a pas encore rattrapé l’information, peut passer à côté en croyant que Python n’est pas touché.
C’est une façon plausible de finir corrigé sous Node et toujours exposé sous Python : le même décodeur, dans un deuxième langage, sur le même serveur, sans aucune annonce pour déclencher votre processus. Si votre flux de correctifs part des annonces des fournisseurs, ajoutez celui-ci manuellement — vérifiez les versions installées directement (voir les quatre vérifications ci-dessous) au lieu d’attendre qu’un fil d’information vous le dise.
Tous les serveurs Node ne sont pas exploitables à distance, et affirmer le contraire serait malhonnête. L’exploitation exige une application qui traite des données Brotli contrôlées par un attaquant via le décodeur vulnérable. Cela place en tête de file :
Content-Encoding: br conçue directement vers eux.fetch() sur une adresse fournie par un utilisateur, un serveur malveillant peut renvoyer des données compressées conçues.Plus bas dans la liste, mais pas hors de la liste : les services internes qui ne se parlent qu’entre eux. Plusieurs des correctifs compagnons protègent les appels que votre code fait à d’autres services, pas seulement les requêtes qu’il reçoit, et le retrait du certificat eMudhra touche chaque appel HTTPS sortant. Corrigez ceux-là aussi — corrigez simplement d’abord ceux qui sont exposés à l’internet.
Une autre note d’honnêteté : mettre à jour la bibliothèque Brotli du système sur un serveur ne corrige pas une copie intégrée dans un environnement d’exécution ou un paquet. Chaque copie intégrée a besoin de sa propre mise à jour, et c’est exactement pourquoi l’inventaire ci-dessous compte plus que n’importe quelle commande de mise à jour isolée.
Corriger un environnement Node est une montée de version. Trouver chaque copie de Brotli dans votre pile est le vrai travail — et c’est la partie que la plupart des équipes sous-estiment, parce que les copies ne vivent pas au même endroit. Parcourez ces quatre cachettes dans l’ordre :
PATH codé en dur vers une ancienne installation, et les tâches cron pointant vers un ancien binaire par chemin absolu continuent tous d’exécuter l’ancien environnement jusqu’à ce que vous déplaciez chacun d’eux. Vérifiez le vrai binaire de chaque processus en cours, pas le nom du processus.Brotli et brotlicffi. Souvenez-vous des notes de version discrètes — ne faites pas confiance à un tableau de bord de scanner au vert ici tant que vous n’avez pas vu les numéros de version.--pull pour qu’elles récupèrent la base corrigée. Les étiquettes officielles node:22, node:24 et node:26 contiennent le correctif ; node:20, node:25 et node:18 ne l’obtiendront pas. Redéployer une ancienne image, c’est redéployer la faille.third_party/brotli — chacun a besoin de sa propre version corrigée, listée dans le tableau ci-dessus. Si vous ne trouvez pas la version d’une copie intégrée, considérez-la comme non corrigée jusqu’à preuve du contraire.
Mettre à jour un seul Node est un changement d’une ligne. Trouver chaque copie de Brotli dans votre pile est le vrai travail — et les copies que vous oubliez sont celles qui restent exposées.
Aucun nouvel outil n’est nécessaire. Exécutez-les sur chaque serveur qui fait tourner vos applications, pas seulement sur votre portable :
node -v sur la machine, puis la version derrière chaque entrée pm2, chaque unité systemd et chaque tâche cron. Tout ce qui est en dessous de 22.23.4 / 24.22.1 / 26.12.1 sur sa ligne, ou sur Node 20 et antérieures, entre sur la liste de correctifs.pip show Brotli brotlicffi dans chaque environnement. En dessous de 1.2.1 / 1.2.1.0, c’est non corrigé — peu importe ce que dit un fil d’avis.node antérieure au correctif, ou sur une image non reconstruite avec --pull depuis le 21 octobre, est reconstruit.Si les quatre vérifications reviennent propres, vous avez terminé — et vous disposez désormais d’une liste que vous pourrez relancer la prochaine fois qu’une bibliothèque intégrée fera la une. Si une vérification révèle une copie que vous n’attendiez pas, c’est tout l’intérêt de l’exercice.
Si vous souhaitez un deuxième regard sur l’inventaire — en particulier les environnements Python et les copies intégrées, que les équipes manquent le plus souvent — une évaluation gratuite le cartographiera avec vous, et vous gardez la liste dans tous les cas.
--pull et redéployez.Node2Shell est-il seulement un problème Node.js ?
Non. Node.js est l’endroit où la faille a pris son nom, mais la faille se trouve dans le décodeur Brotli C que Node intègre — et les paquets Python, Bun, curl, Envoy et Istio intègrent le même décodeur. Corriger Node seul laisse les autres copies en place.
HTTP2Shell est-il une deuxième vulnérabilité ?
Non. HTTP2Shell est un surnom qui a commencé à circuler fin octobre pour le même CVE-2026-111497, pas une deuxième faille avec son propre correctif. Un CVE, un décodeur, une liste de correctifs.
Sommes-nous en sécurité parce que personne ne l’a encore exploitée dans la nature ?
Non. Au 23 octobre 2026, aucune exploitation dans la nature n’avait été signalée et le CVE ne figurait pas dans le fichier des vulnérabilités exploitées de la CISA — mais une preuve de concept publique existe et des chercheurs ont déjà démontré une exécution de code en conditions de laboratoire. L’absence de signalements d’exploitation est une mise à jour de statut, pas une garantie de sécurité.
Un audit npm propre signifie-t-il que tout va bien ?
Non. npm audit vérifie vos paquets, pas l’environnement Node.js lui-même ni un décodeur C intégré. Un audit parfaitement propre ne dit rien de l’environnement qu’exécutent réellement vos processus.
Nous avons mis Node à jour — avons-nous terminé ?
Seulement si les quatre vérifications ci-dessus reviennent propres. Les environnements Python, les conteneurs construits sur d’anciennes images de base et les copies intégrées dans les proxys et les maillages sont autant de copies distinctes de la même faille, et chacune a besoin de son propre correctif.
Si vous ne retenez qu’une chose de cette semaine, que ce soit celle-ci : la copie de Brotli que vous oubliez est celle qui reste exposée, et la copie que la plupart des équipes oublient n’est pas l’environnement Node — c’est le paquet Python aux notes de version discrètes, ou le décodeur intégré dans un proxy que personne n’a inventorié. Vérifiez ceux-là d’abord, ce soir, avant que la semaine avance.
Et si l’inventaire révèle plus de copies que prévu, notre évaluation gratuite les cartographiera avec vous — vous gardez la liste dans tous les cas, que nous travaillions ensemble ou non par la suite.
Encadré de confiance — sources et révision
- Versions de sécurité Node.js d’octobre 2026 (21 octobre 2026) : versions corrigées 22.23.4, 24.22.1, 26.12.1 ; CVE-2026-111497 de gravité élevée, permet l’exécution de code à distance ; failles compagnons CVE-2026-105482, CVE-2026-105483, CVE-2026-106069 ; fin de vie de Node 20 le 30 avril 2026.
- Versions corrigées de Brotli 1.2.1, 1.1.1, 1.0.10 (21 octobre 2026) ; Bun 1.4.4 ; Envoy corrigé 1.40.0 / 1.39.3 / 1.38.6 / 1.37.8 ; Istio corrigé 1.29.9 / 1.30.6 / 1.31.2 ; mise à jour de la dépendance curl/libcurl vers 1.2.1 ou paquet corrigé du fournisseur.
- Avis Python PYSEC-2026-4322 (Brotli 1.2.1) et PYSEC-2026-4323 (brotlicffi 1.2.1.0), avis GitHub GHSA-9v8h-qqgm-4m35 ; correctifs publiés sans mention de vulnérabilité dans les notes de version.
- Preuve de concept publique et exécution de code en laboratoire sur Node 24.22.0 (22 octobre 2026) ; découverte red team d’OpenAI, exploitation dans les deux sens (23 octobre 2026) ; statut du fichier des vulnérabilités exploitées de la CISA au 23 octobre 2026, 22 h 00 UTC (non listé) ; aucune exploitation dans la nature signalée au 23 octobre 2026.
- Révisé : 24 octobre 2026. Par Amen Security, une équipe winnipegoise de services TI gérés et de développement web et d’applications, au service des petites et moyennes entreprises canadiennes et américaines. Aucun service, prix, partenariat ou certification n’est revendiqué dans cet article au-delà de ce que le site en direct prouve.
Votre commentaire sera publié après examen par notre équipe.
Continuer la lecture
L'identifiant volé d'une application de sauvegarde a donné accès à des locataires Microsoft 365 en octobre 2026. Cette liste de contrôle pour PME canadiennes vérifie l'accès des applications, les autorisations et les restaurations.
Deux failles critiques de PHP (CVE-2026-109618/109619) menacent les sites non corrigés. Trouvez votre version de PHP, vérifiez votre hébergeur, corrigez — la vérification de 15 minutes.
Licences inutilisées, comptes d'anciens employés et paramètres de sécurité Microsoft 365 jamais activés au complet: ce qu'un nettoyage corrige concrètement pour les PME canadiennes.