Node2Shell : votre site web est-il vraiment corrigé ?
Votre hébergeur indique qu’une mise à jour de sécurité est disponible. Votre développeur dit que le site web fonctionne toujours. Aucune de ces réponses ne confirme que la mise à jour a été installée. Si votre entreprise dépend d’une application Node.js, demandez dès aujourd’hui à son mainteneur de confirmer le correctif de sécurité dans l’application en production.
Ce qui a changé
Node.js est un logiciel qui exécute de nombreuses applications web. Node2Shell est un nom courant pour CVE-2026-111497, une faille dans son décodeur Brotli intégré. Brotli compresse les données ; un décodeur les décompresse.
Le projet Node.js indique qu’une entrée compressée malveillante peut corrompre la mémoire lorsqu’une application la décompresse. Les conséquences possibles incluent un plantage, l’exposition de données conservées en mémoire, ou l’exécution de code par un attaquant. Les mises à jour de sécurité datées du 2026-10-21 sont Node.js 22.23.4, 24.22.1 et 26.12.1.
Demandez à votre mainteneur d’installer une version de Node.js qui inclut le correctif de sécurité et qui est toujours prise en charge. Si votre fournisseur fournit le logiciel, demandez son bulletin de sécurité et la confirmation que le correctif est inclus dans votre application en production. Le « runtime » est le logiciel qui exécute l’application.
La newsletter du 26 octobre de TheTip.ai a attiré notre attention sur cette information. Nous avons vérifié les avis d’origine afin d’établir ce qu’un propriétaire doit confirmer.
Découverte dans la newsletter : TheTip.ai, 26 octobreNode.js : avis de sécurité d’octobre et versions corrigées
Vérifiez la version exécutée dans votre application
Le bulletin de Scalingo explique un manque : proposer des versions de Node.js qui incluent le correctif de sécurité ne met pas à jour une application déjà déployée. Ses clients doivent sélectionner un runtime contenant le correctif, reconstruire et redéployer, puis vérifier la version. Redémarrer le déploiement existant ne remplace pas ce runtime.
D’autres hébergeurs peuvent gérer les mises à jour différemment. Demandez si votre fournisseur met à jour automatiquement les applications en cours d’exécution ou si votre développeur doit intervenir. Sa réponse doit identifier votre application.
Scalingo : ce que ses clients doivent mettre à jour et vérifier
Trois réponses qui clôturent la tâche
Conservez une courte note de maintenance avec ces trois réponses. Vous pourrez ainsi voir si le travail est terminé sans avoir besoin de comprendre la technique d’attaque.
| Question | Confirmation utile |
|---|---|
| Qu’est-ce qui nécessite de l’attention ? | L’application ou le service affecté, son runtime et la personne responsable. Incluez les tâches d’arrière-plan connectées lorsque c’est pertinent. |
| Le correctif a-t-il été installé ? | La version du runtime déployé ou la confirmation du correctif fournisseur, avec le nom de l’application et l’heure de déploiement. |
| Les clients peuvent-ils toujours accomplir la tâche importante ? | Une vérification consignée du parcours important après la mise à jour, par exemple une réservation test ou une connexion au portail, en utilisant des données de test approuvées. |
L’exposition dépend de ce que l’application décompresse
L’avis de Red Hat indique que l’exploitation nécessite qu’une application décompresse des données Brotli fournies par un attaquant. La faille affecte aussi des logiciels au-delà de Node.js ; une réponse limitée à Node peut donc être incomplète lorsque d’autres logiciels affectés sont utilisés.
Scalingo identifie deux chemins pertinents : les données compressées entrantes et les réponses compressées récupérées depuis un autre serveur. Le fait de servir des pages compressées aux visiteurs n’invoque pas, à lui seul, le décodeur vulnérable. Un filtre entrant ne répond donc pas à toutes les questions d’exposition.
Demandez à votre mainteneur d’identifier le logiciel en cours d’exécution et de suivre les recommandations de son éditeur. S’il est confirmé que le service n’est pas affecté, conservez cette explication. Si le fournisseur n’a pas encore installé la mise à jour, demandez quelle protection temporaire s’applique et convenez de la date du prochain point. Gardez la tâche ouverte jusqu’à ce que vous receviez une confirmation.
Red Hat : logiciels affectés et conditions d’expositionScalingo : chemins de décompression entrants et sortants
Un message que vous pouvez adapter
Message suggéré à votre développeur ou hébergeur : « Veuillez vérifier notre site web et les services d’application connectés par rapport à CVE-2026-111497. Dites-moi quels composants sont affectés, qui applique le correctif et si notre déploiement en production l’inclut déjà. Veuillez confirmer le runtime ou la référence du correctif fournisseur après la mise à jour, et vérifier le principal parcours client. Si une action est encore en attente, donnez-moi la date de la prochaine mise à jour. »
Il s’agit d’une demande suggérée. Adaptez-la aux services utilisés par votre entreprise.
Envoyez la demande à la personne qui assure la maintenance de l’application. Si personne n’est responsable de la maintenance, convenez de qui s’occupera des futures mises à jour et du support.
Comment forvertz définit la maintenance et le support des applications
Sources
Qui assure la maintenance de votre application ?
Si la responsabilité des mises à jour n’est pas claire, décrivez le manque. forvertz peut discuter des dispositions de maintenance et de support de votre application.
Parlez de votre applicationMis à jour