Le 21 octobre 2026, le même jour que les correctifs PHP, le projet Node.js a publié des mises à jour de sécurité pour toutes ses versions maintenues. Elles corrigent 10 vulnérabilités, dont quatre classées élevées (annonce officielle Node.js).
Les failles qui comptent le plus
- CVE-2026-111497 — décompression Brotli (
node:zlib) : un flux compressé piégé provoque un débordement de mémoire. Conséquences possibles : plantage, fuite de mémoire ou exécution de code à distance. Toute application qui décompresse des données reçues de l’extérieur est concernée. - CVE-2026-105483, CVE-2026-106069 et CVE-2026-106072 — vérification des certificats TLS : certaines écritures d’adresses IP (chiffres pleine largeur, zéros en tête, notation octale) trompent la vérification. Un certificat peut être accepté pour une adresse qu’il ne couvre pas.
- CVE-2026-105482 — résolution DNS : un nom d’hôte contenant un caractère nul est tronqué.
attaquant.exemple\0.confiance.exempleest résolu commeattaquant.exemple. - CVE-2026-106074 — nombres aléatoires : dans certains modes de démarrage (snapshots, exécutables autonomes),
crypto.randomUUID()peut produire les mêmes identifiants d’un processus à l’autre.
Les mises à jour embarquent aussi des versions corrigées d’OpenSSL, c-ares, SQLite et Undici, ainsi que le retrait d’une autorité de certification compromise.
Les versions à installer
| Branche Node.js | Version corrigée |
|---|---|
| 26.x | 26.12.1 ou plus récente |
| 24.x (LTS) | 24.22.1 ou plus récente |
| 22.x (LTS) | 22.23.4 ou plus récente |
| 20.x et plus anciennes | Fin de vie : aucun correctif, migration nécessaire |
Les versions en fin de vie sont touchées par défaut à chaque publication de sécurité : seule une migration vers une branche maintenue les protège.
Pour vérifier une application : node -v sur le serveur, et pour les applications gérées avec PM2, redémarrer chaque processus après la mise à jour (pm2 restart all) afin que la nouvelle version soit réellement utilisée.
Ce que nous avons fait pour nos clients
Digital Click développe et héberge des applications Node.js pour ses clients. Après la publication du 21 octobre :
- Inventaire des serveurs et des applications Node.js, avec la branche utilisée.
- Mise à jour vers la version corrigée de chaque branche, puis redémarrage des processus (PM2, systemd, conteneurs).
- Tests de non-régression des applications après mise à jour.
- Planification de la migration des applications encore sur une branche en fin de vie.
- Revue des dépendances npm (
npm audit) à cette occasion.
Et vos applications ?
Une application Node.js oubliée sur une ancienne version est une porte d’entrée. Si vous voulez un point rapide sur vos serveurs, contactez-nous ou appelez le 29 680 706 (téléphone et WhatsApp).