CVE-2026-111497 Node2Shell : RCE Brotli CVSS 9.2 dans Node.js — patch d'urgence

Les faits

Le 21 octobre 2026, le projet Node.js a publié des mises à jour de sécurité d'urgence corrigeant dix vulnérabilités, dont CVE-2026-111497, la plus critique du lot. Surnommée Node2Shell par les chercheurs en sécurité d'Aikido Security et de Brandefense, cette vulnérabilité permet à un attaquant distant non authentifié d'exécuter du code arbitraire sur n'importe quel système faisant tourner une version non patchée de Node.js exposant des fonctionnalités de décompression Brotli.

CVE-2026-111497 est une vulnérabilité d'écriture hors limites (CWE-787 : Out-of-Bounds Write) dans le décodeur Brotli intégré au moteur Node.js. La faille réside dans le fichier source c/dec/decode.c de la bibliothèque Brotli de Google (versions 1.0.3 à 1.2.0), exposée via le module node:zlib de Node.js. Lors du décodage d'un flux Brotli malformé, le décodeur peut écrire au-delà des limites du tampon alloué, corrompant la mémoire adjacente et permettant potentiellement à un attaquant de contrôler le pointeur d'instruction et d'exécuter du code arbitraire.

En termes de scoring, le CVE record de Google attribue à CVE-2026-111497 un score CVSS v4.0 de 9.2. Certains agrégateurs mentionnent également un score CVSS v3 de 9.8, bien que ce score ne provienne pas directement du projet Node.js ou du NVD. Le projet Node.js qualifie la faille de haute sévérité dans son advisory. Le vecteur d'attaque est réseau (AV:N), la complexité est faible (AC:L), aucun privilège ni interaction utilisateur n'est requis, et l'impact en termes d'intégrité et de disponibilité est élevé.

La surface d'attaque de CVE-2026-111497 est particulièrement large car le décodage Brotli est activé par défaut dans l'API fetch() native de Node.js depuis Node.js 18. Concrètement, toute application Node.js qui effectue des requêtes HTTP vers des ressources externes décode automatiquement les réponses Brotli sans que le développeur n'ait à activer explicitement cette fonctionnalité. Un attaquant contrôlant un serveur ou capable d'intercepter le trafic HTTP sortant (attaque man-in-the-middle) peut délivrer une réponse Brotli malformée à une application victime et déclencher l'exploitation.

Au-delà de l'API fetch(), les applications utilisant explicitement node:zlib.createBrotliDecompress() ou node:zlib.brotliDecompress() sont également exposées dès lors qu'elles traitent des données Brotli contrôlées par un attaquant. Les applications de proxy inverse, de cache, d'agrégation de flux et de traitement de données provenant de sources tierces sont donc particulièrement à risque.

La faille a été divulguée de manière coordonnée le 21 octobre 2026 par le projet Node.js en collaboration avec Google, qui a simultanément publié des correctifs pour la bibliothèque Brotli elle-même (versions 1.0.10, 1.1.1 et 1.2.1). Cyberkendra a signalé le développement d'un proof-of-concept (PoC) pour CVE-2026-111497 peu après la divulgation, sans confirmation d'exploitation in-the-wild à ce stade. Toutefois, la disponibilité imminente de PoC publics rend la fenêtre de patching extrêmement courte.

L'écosystème Node.js étant omniprésent dans les backends web modernes, les microservices, les pipelines de données et les applications serverless, l'impact potentiel de CVE-2026-111497 est comparable à celui de Log4Shell en termes d'étendue de la surface d'attaque. Les applications Node.js déployées en conteneurs Docker doivent être reconstruites à partir d'images base mises à jour. Les environnements serverless (AWS Lambda, Vercel, Netlify Functions) utilisant des runtimes Node.js non patchés sont également exposés jusqu'à ce que les fournisseurs de cloud mettent à jour leurs runtimes.

Le lot de sécurité d'octobre 2026 de Node.js corrige en tout dix vulnérabilités, dont plusieurs failles de sévérité haute affectant les composantes TLS et DNS. CVE-2026-111497 est toutefois la seule à permettre l'exécution de code à distance sans authentification, ce qui en fait la priorité absolue de ce cycle de patching selon les analyses de Threat Intelligence RedEye Security et d'Atlas Security.

Impact et exposition

Node.js est l'environnement d'exécution JavaScript côté serveur dominant, utilisé par des millions d'applications web, d'APIs REST, de microservices et de pipelines DevOps dans le monde entier. La prévalence du décodage Brotli par défaut dans fetch() signifie que la grande majorité des applications Node.js effectuant des requêtes sortantes est potentiellement exposée.

Les conditions d'exploitation dépendent fortement de l'architecture applicative. Une application qui reçoit des données Brotli de sources contrôlées par l'attaquant (formulaires, uploads, proxies) et les décompresse avec node:zlib est directement exploitable. Une application qui ne fait que des appels sortants vers des API de confiance est exposée uniquement si ces API sont compromises ou si le trafic peut être intercepté (MITM). Les applications utilisant HTTPS avec une validation stricte des certificats réduisent, mais n'éliminent pas, ce risque résiduel.

Les environnements de build et de CI/CD utilisant des versions Node.js non patchées pour exécuter des scripts de build traitant des artefacts provenant de dépôts tiers représentent un vecteur d'attaque sous-estimé. Une attaque de chaîne d'approvisionnement combinée à CVE-2026-111497 pourrait permettre de compromettre des pipelines de déploiement entiers.

Recommandations immédiates

• Mettre à jour Node.js vers la version 22.23.4, 24.22.1 ou 26.12.1 selon la branche utilisée — advisory : Node.js Security Releases du 21 octobre 2026 (sans lien externe)
• Mettre à jour la bibliothèque Google Brotli si elle est utilisée directement : vers la version 1.0.10 (branche 1.0.x), 1.1.1 (branche 1.1.x) ou 1.2.1 (branche 1.2.x)
• Reconstruire les images Docker utilisant des images base node:* ou node:alpine non patchées
• Mettre à jour les fonctions serverless (AWS Lambda, Vercel, Netlify) si elles utilisent un runtime Node.js géré par le développeur
• Mitigation temporaire si le patching immédiat est impossible : désactiver la décompression Brotli dans les appels fetch() via des headers personnalisés (Accept-Encoding sans br) et éviter de traiter des données Brotli provenant de sources non maîtrisées
• Indicateurs de compromission : surveiller les comportements anormaux des processus Node.js (connexions sortantes inattendues, nouveaux fichiers créés, élévation de privilèges), analyser les logs d'application pour des erreurs de décompression Brotli inhabituelles