Dix failles corrigées le 21 octobre
Node.js a mis en ligne le 21 octobre trois nouvelles versions, Node.js 22.23.4, 24.22.1 et 26.12.1, une pour chacune des branches encore maintenues. Elles corrigent dix failles, dont quatre que le projet classe de gravité élevée, trois de gravité moyenne et trois de gravité faible. Node.js n’a publié de note CVSS pour aucune d’entre elles. Les versions 20 et antérieures, ainsi que les branches 21, 23 et 25, ne recevront pas de correctif. Le même jour, Node.js a aussi bloqué huit certificats de l’autorité indienne eMudhra, comme Chrome et Firefox l’avaient fait le 17 octobre, Apple le 19 et Microsoft le 20.
La faille Brotli signalée par Matteo Collina
La faille la plus grave, CVE-2026-111497, concerne le décodeur Brotli intégré à Node.js et touche les trois branches maintenues. Elle a été signalée par Matteo Collina, membre de l’équipe du projet, et corrigée par Antoine du Hamel. Selon Node.js, elle peut permettre à un attaquant “d’exécuter le code de son choix sur le système touché”. Le projet Brotli a publié le même jour ses propres versions corrigées, 1.2.1, 1.1.1 et 1.0.10, alors que la modification de son code datait de février 2026.
Le jeudi 22 octobre, une preuve de concept a été publiée. Son auteur dit n’avoir réussi à exécuter du code que sur une version de Node.js qu’il avait affaiblie pour l’essai, et n’avoir obtenu qu’un plantage sur une version normale. Aucune attaque n’avait été signalée ce jour-là. L’hébergeur Vercel avait ajouté dès le 21 octobre des règles de pare-feu pour bloquer ces requêtes chez ses clients, en précisant qu’elles ne remplaçaient pas la mise à jour.
PHP2Shell, deux failles notées 9,2 sur 10
Chez PHP, les deux failles corrigées le 21 octobre ont été baptisées PHP2Shell (CVE-2026-109618 et CVE-2026-109619). Elles sont notées 9,2 sur 10 et touchent PHP 8.2 à 8.5. Les branches 8.1 et antérieures ne reçoivent plus de correctifs officiels.
Le vendredi 23 octobre, PHP a signalé une nouvelle faille (CVE-2026-115560), qui ne concerne cette fois que des configurations peu courantes et qui ne sera corrigée que dans la prochaine mise à jour classique. Pour les deux failles PHP2Shell du 21 octobre, des tentatives d’attaque avaient été repérées dès leur publication, et l’agence américaine de cybersécurité CISA avait demandé une mise à jour immédiate vers PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.