Les équipes qui font tourner à la fois des sites PHP et des API Node.js ont dû enchaîner deux mises à jour urgentes ce mercredi 21 octobre. PHP a d’abord publié les correctifs de ses deux failles critiques, attendus depuis la veille, comme nous l’expliquions lors de l’annonce. Le projet Node.js a suivi le même jour avec les versions 22.23.4, 24.22.1 et 26.12.1, qui corrigent dix failles d’un coup selon son avis de sécurité. Quatre sont classées à sévérité haute, dont une qui permet de prendre la main sur un serveur à distance. Et dans la même semaine, GitLab a lui aussi corrigé une faille critique notée 10 sur 10, présente depuis 2014.
Node.js, l’environnement qui permet de faire tourner du JavaScript sur un serveur, est moins répandu que PHP en nombre de sites. D’après les relevés de W3Techs au 9 septembre 2026, il sert de serveur web à 7 % des sites dont on connaît le serveur. Par contre, ce chiffre monte à 22 % parmi les 1 000 sites les plus visités.
Node.js a suivi son calendrier habituel. La date du 21 octobre était annoncée à l’avance, et sa précédente série de correctifs remontait au 29 juillet. Aucune fuite n’a été signalée avant la publication, et Node.js ne fait état d’aucune attaque exploitant ces failles.
La faille Brotli
La faille la plus grave, CVE-2026-111497, touche le décodeur Brotli de Node.js. Brotli est un format de compression créé par Google, très utilisé pour alléger les pages web et les échanges entre serveurs. Le décodeur peut écrire en dehors de la zone mémoire qui lui est réservée, ce qui ouvre la porte à l’exécution de code choisi par l’attaquant.
Node.js met aussi à jour plusieurs dépendances, dont c-ares, OpenSSL, SQLite et Undici. Surtout, son magasin de certificats bloque désormais l’autorité de certification eMudhra, qui a été compromise, et refuse les chaînes de certificats contenant une clé révoquée, même quand le certificat racine reste reconnu.
Ce qu’il faut faire sur vos serveurs Node.js
Vérifiez la version installée avec la commande node -v, puis passez à la version corrigée de votre branche :
- Node.js 22.x : version 22.23.4
- Node.js 24.x : version 24.22.1
- Node.js 26.x : version 26.12.1
Si vos applications tournent dans des conteneurs, mettre à jour la machine ne suffit pas : reconstruisez les images et redémarrez les services concernés.
Les branches en fin de vie, comme Node.js 20, restent vulnérables : Node.js rappelle qu’elles sont touchées à chaque publication de sécurité, et elles ne reçoivent plus de correctifs. Côté PHP, les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. PHP 8.1 et les versions plus anciennes n’ont reçu aucune mise à jour.
Abonnez-vous à la newsletter Watt Else de Numerama et Survoltés ! Vous y retrouverez nos actus, tests et dossiers sur la mobilité électrique.
Pour nous soutenir gratuitement, dites simplement à Google d’ajouter Frandroid à vos sources préférées en cliquant ici.
Ce contenu est bloqué car vous n'avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Disqus.
Pour pouvoir le visualiser, vous devez accepter l'usage étant opéré par Disqus avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l'amélioration des produits d'Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l'audience de ce site (en savoir plus)
En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .
Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.