node2shell : la faille Node.js activement exploitée, que faire

Le 21 octobre 2026, l'équipe de Node.js a publié des correctifs de sécurité pour ses trois branches maintenues. Parmi les failles corrigées, l'une a pris un surnom dans la presse spécialisée : node2shell. Son identifiant officiel est CVE-2026-111497. Le 27 octobre, l'agence américaine de cybersécurité (CISA) l'a ajoutée à son catalogue des failles activement exploitées. Node.js fait tourner une grande partie des applications web modernes : API, espaces clients, sites en Next.js ou Nuxt, outils internes. Voici ce qu'il faut savoir, sans exagération.

#1. Ce qui se passe, en cinq points

• Une faille dans un composant embarqué : Node.js intègre la bibliothèque de compression Brotli de Google. Selon l'avis de Node.js, une donnée compressée malformée permet d'écrire au-delà d'une mémoire tampon interne du décodeur.
• Les conséquences : un attaquant capable de fournir des données Brotli qu'une application décompresse avec le module node:zlib peut corrompre la mémoire du processus. Cela peut aller du plantage à la fuite de données en mémoire, et jusqu'à l'exécution de code à distance.
• La gravité : Google, qui maintient Brotli, la note 9,2 sur 10 (CVSS 4.0) et la base américaine NVD 9,8 (CVSS 3.1). L'équipe de Node.js la classe « élevée », car l'exploitation suppose que l'application décompresse des données venues de l'extérieur.
• Les versions touchées : les branches 22.x, 24.x et 26.x de Node.js, et les versions 1.0.3 à 1.2.0 de la bibliothèque Brotli elle-même.
• Exploitée : inscrite au catalogue KEV de la CISA le 27 octobre 2026.

Le surnom node2shell n'est pas employé par Node.js : il vient de chercheurs en sécurité et de la presse. La faille officielle, elle, est bien réelle et confirmée par les sources primaires.

#2. Les versions corrigées

Les branches 20 et antérieures ne sont plus maintenues par Node.js : elles ne reçoivent plus de correctifs. Si vous êtes encore en Node.js 20 ou plus ancien, la seule réponse durable est la migration vers une branche maintenue.

La même bibliothèque Brotli est utilisée ailleurs : l'équipe PHP a par exemple republié ses versions Windows le 26 octobre 2026 pour l'intégrer. Pour vos autres logiciels, la bibliothèque doit être en 1.0.10, 1.1.1 ou 1.2.1.

#3. Comment savoir si je suis concerné

Depuis l'extérieur, c'est impossible. Un serveur Node.js n'affiche pas sa version aux visiteurs. Notre scanner de vulnérabilité repère quand un site utilise Node.js (par exemple un site Next.js) et vous l'indique avec la mention « à contrôler sur le serveur ». Il ne prétendra jamais qu'un site est à jour face à node2shell : ce serait un mensonge.

Sur le serveur, une commande suffit :

node -v

Dans un conteneur Docker, la version de Node.js est celle de l'image de base (par exemple node:22). Il faut reconstruire l'image à partir d'une base corrigée, puis redéployer : redémarrer l'ancien conteneur ne change rien.

Sur une plateforme d'hébergement gérée, vérifiez dans la configuration du projet la version de Node.js utilisée et la politique de mise à jour de l'hébergeur.

Votre application décompresse-t-elle du Brotli venu de l'extérieur ? C'est la condition d'exploitation. Seuls vos développeurs peuvent répondre avec certitude, car cela dépend du code et des bibliothèques utilisées. Dans le doute, considérez que oui et mettez à jour.

#4. Que faire maintenant

1. Inventoriez tous vos serveurs, conteneurs et services qui exécutent Node.js, y compris les outils internes et les tâches automatisées.
2. Mettez à jour vers 22.23.4, 24.22.1 ou 26.12.1 selon la branche.
3. Redémarrez les processus ou redéployez les conteneurs.
4. Vérifiez avec node -v que la version en service a bien changé.
5. Migrez les applications encore en Node.js 20 ou plus ancien.

#Chercher des signes de compromission

Sur un serveur resté exposé, surveillez :

• des plantages répétés du processus Node.js, qui peuvent trahir des tentatives d'exploitation ;
• des processus inconnus lancés par Node.js ;
• des connexions sortantes inhabituelles et une charge processeur anormale ;
• des usages inattendus des clés d'API et des accès que le serveur détient.

#5. Questions fréquentes

#Mon site WordPress est-il concerné ?

Pas par cette faille de Node.js : WordPress fonctionne avec PHP. En revanche, PHP a ses propres failles critiques récentes, voir notre article sur php2shell.

#Mon site Next.js est-il concerné ?

S'il est servi par un serveur Node.js, oui, il faut contrôler la version de Node.js. Vérifiez aussi la version de Next.js elle-même face à React2Shell.

#Un pare-feu applicatif suffit-il ?

Non. La faille se déclenche à la décompression de données, ce qu'un pare-feu ne voit pas toujours. La mise à jour reste la seule solution complète.

#6. Comment M-KIS peut vous aider

Notre infogérance prend en charge l'inventaire et les mises à jour de sécurité de vos serveurs, conteneurs compris. Si un serveur a pu être compromis, notre intervention sur serveur infecté s'occupe de l'analyse et de la remise en service. Pour toute question, écrivez-nous : nous répondons rapidement par mail.

Sources : bulletin de sécurité de Node.js (nodejs.org) du 21 octobre 2026, base NVD (CVE-2026-111497), catalogue KEV de la CISA (ajout du 27 octobre 2026), annonces de l'équipe PHP (php.net) d'octobre 2026.