Faille du 27 octobre 2026 · CVE-2026-111497

Node.js Écriture hors limites

9,8 CVSS · critiqueExploitée

Écriture hors limites dans Node.js. Exploitable à distance par le réseau, sans authentification, sans action de l’utilisateur. CVSS 9,8 (gravité critique). Selon la CISA, elle est déjà exploitée. Corrigée dans 22.23.4, 24.22.1 et 26.12.1.

Avis de sécurité de l’éditeur

nodejs.org · Les informations de l’éditeur font foi.

En bref

CVE

CVE-2026-111497

Produit

Node.js

Éditeur

OpenJS Foundation

Versions concernées

< 22.23.4
≥ 23.0.0, < 24.22.1
≥ 25.0.0, < 26.12.1

selon la NVD

Corrigé dans

22.23.4, 24.22.1, 26.12.1

CVSS

9,8 (critique)
CVSS 3.1, évalué par la NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Exploitée

Oui, selon la CISA (dans le catalogue KEV depuis le 27 octobre 2026)

Type de faille

CWE-252, CWE-787 (Écriture hors limites)

Publiée le

22 octobre 2026

Modifiée le

30 octobre 2026

Que faire ?

Mettre à jour vers une version corrigée : 22.23.4, 24.22.1 et 26.12.1 ou plus récente, selon la branche utilisée.
Lire l’avis de l’éditeur : il précise les versions exactes et, le cas échéant, des contournements si la mise à jour ne peut pas être faite tout de suite.
La faille étant déjà exploitée : après la mise à jour, vérifier que le système n’a pas été compromis auparavant.
Vérifier aussi les installations de test, de préproduction et celles oubliées du même logiciel.

Avis de sécurité de l’éditeur ↗

Description originale

En anglais, issue de la fiche CVE. Le résumé ci-dessus est établi à partir des données structurées.

A buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0 on all platforms allows a remote unauthenticated attacker to corrupt adjacent decoder state memory, disclose sensitive memory contents, cause a denial of service, or potentially execute arbitrary code using a crafted Brotli-compressed stream. Users need to update any Brotli libraries or binaries between 1.0.3 through 1.2.0 to the latest available version: 1.0.10 or 1.1.1 or 1.2.1.
Intitulé à la CISA : Google Brotli Unchecked Return Value Vulnerability

Références officielles

github.com/andybalholm/brotli/releases/tag/v1.2.7Notes de version
nodejs.org/en/blog/vulnerability/october-2026-security-releasesAvis tiers
broccoli2shell.comAvis tiers
github.com/advisories/GHSA-9v8h-qqgm-4m35Avis tiers
github.com/dotnet/announcements/issues/494TicketContournementAvis tiers
github.com/google/brotli/releases/tag/v1.0.10Notes de version
github.com/google/brotli/releases/tag/v1.1.1Notes de version
github.com/google/brotli/releases/tag/v1.2.1Notes de version
lists.debian.org/debian-lts-announce/2026/10/msg00049.htmlListe de diffusionAvis tiers
patchtheplanet.org/brotliAvis tiers
aikido.dev/blog/node2shell-nodejs-brotli-rce-cve-2026-111497Avis tiers
cert-portal.siemens.com/productcert/html/ssa-045512.htmlAvis tiers
cert-portal.siemens.com/productcert/html/ssa-443410.htmlAvis tiers
cert-portal.siemens.com/productcert/html/ssa-898633.htmlAvis tiers
ellio.tech/en/blog/node2shell-cve-2026-111497-rce-on-stock-nodejs-buildsAvis tiers
cisa.gov/known-exploited-vulnerabilities-catalogAdministration US

Sources

Données de la NVD (NIST) et du catalogue KEV de la CISA, récupérées le 1er novembre 2026. Ce site utilise des données de l’API de la NVD sans être approuvé ni certifié par la NVD. Informations fournies sans garantie.

Fiche NVD ↗Fiche CVE.org ↗Catalogue KEV de la CISA ↗

Quelles versions de logiciels votre site laisse-t-il voir ? Le test de sécurité gratuit le vérifie.

Tester gratuitement