Node.js (moteur d’applications) : trois versions de sécurité

Des versions de sécurité disponibles

Le projet Node.js a publié le 21 octobre 2026 trois versions de sécurité : 22.23.4, 24.22.1 et 26.12.1. Ce moteur exécute du JavaScript (langage de programmation) et permet notamment de construire des applications réseau.

Le bulletin de sécurité décrit une faille de gravité élevée dans Brotli (composant de décompression des données) : une écriture hors des limites de mémoire peut permettre une exécution de code à distance (faire exécuter des instructions à une application depuis un autre système). Cette vulnérabilité porte l’identifiant CVE-2026-111497. Elle concerne les trois branches corrigées.

Pour votre entreprise, il est recommandé de faire vérifier les versions utilisées par vos applications, puis d’organiser leur mise à jour si elles sont affectées.

Les entreprises utilisant les branches concernées

Sont concernées les entreprises qui exploitent des applications avec Node.js 22, 24 ou 26 dans les versions antérieures aux correctifs indiqués. Le CERT-FR précise les bornes : avant 22.23.4 pour la branche 22, avant 24.22.1 pour la branche 24 et avant 26.12.1 pour la branche 26. Les installations déjà corrigées sont exclues de ces bornes.

Les versions arrivées en fin de vie demandent un traitement distinct. Le projet ne leur fournit plus de mises à jour, y compris de sécurité. Sa documentation présente toutefois des possibilités de support commercial pour ces versions : si vous disposez d’un tel contrat, faites confirmer sa couverture de cette vulnérabilité. Ce soutien est présenté comme temporaire ; l’objectif reste de rejoindre une version maintenue.

Des correctifs publiés le 21 octobre

Les trois notes de version datent les livraisons du 21 octobre 2026 et les qualifient de versions de sécurité. Le CERT-FR a publié son avis le 22 octobre 2026. Les correctifs sont donc disponibles ; pour une installation affectée, fixez leur déploiement avec la personne responsable de l’application.

Organiser la vérification et la mise à jour

Les actions suivantes sont des recommandations de sécurité :

• Demandez à votre équipe ou prestataire l’inventaire des applications utilisant Node.js et leurs versions effectivement déployées.
• Si la version est affectée, préparez l’installation du correctif correspondant : 22.23.4 pour la branche 22, 24.22.1 pour la branche 24 ou 26.12.1 pour la branche 26.
• Faites tester les fonctions de l’application avant le passage en production, puis consignez la version déployée et le résultat des vérifications.
• Pour une branche en fin de vie, préparez une migration vers une version maintenue ; si vous utilisez un support commercial pendant cette transition, faites vérifier les corrections couvertes par votre contrat.

Pour entretenir les protections de vos applications, VCSTS prend en charge les mises à jour des composants couverts dans le périmètre confié.