Node.js 22 et 24 : des correctifs de sécurité publiés le 21 octobre

Faits annoncés

Node.js, l’environnement qui exécute du JavaScript notamment sur les serveurs, a publié les versions de sécurité 22.23.4 et 24.22.1 le 21 octobre 2026. Le bulletin commun couvre aussi la branche 26. L’éditeur classe la gravité maximale comme élevée, et non critique : les propositions automatiques exagéraient ce point.

La faille CVE-2026-111497 concerne la décompression Brotli. Si une application décompresse des données malveillantes avec le module node:zlib, une corruption de mémoire peut permettre un arrêt, une divulgation ou une exécution de code. Ce risque ne découle pas de la seule exposition d’un serveur au Web.

Les notes listent aussi des corrections de résolution de noms, de vérification des certificats, de permissions et de génération aléatoire. La correction TLS CVE-2026-105483, relative à certaines adresses écrites avec des caractères non standards, concerne les branches 24 et 26, pas la branche 22. TLS est le protocole qui protège les connexions ; son contrôle des certificats vérifie l’identité du serveur.

Sources : bulletin Node.js du 21 octobre, release 24.22.1 et release 22.23.4.

Impacts immédiats — analyse

Pour une équipe qui exploite ces branches, la première étape consiste à retrouver les versions réellement embarquées dans ses applications et images de conteneurs. Le risque dépend ensuite des fonctions utilisées et des entrées qu’un tiers peut contrôler. Une version corrigée est disponible ; son installation dans un service hébergé ou un paquet de distribution doit être vérifiée séparément.

À un an — hypothèses conditionnelles

Si les équipes entretiennent un inventaire et des tests représentatifs, elles pourraient réduire le délai entre une annonce et sa prise en compte. Le résultat dépendrait du maintien de ces pratiques ; aucune proportion d’adoption ni baisse chiffrée du risque n’est établie.

Actions à envisager

1. Relever la branche et la version réellement utilisées par chaque application concernée, y compris dans les conteneurs.
2. Comparer les fonctions utilisées au bulletin de sécurité, puis tester le correctif correspondant dans un environnement de validation.
3. Planifier la mise à jour et vérifier ensuite la version exécutée ainsi que les parcours essentiels de l’application.

Incertitudes et limites

La publication des correctifs le 21 octobre précède la préparation automatique du 25 octobre. La revue Codex du 27 octobre regroupe deux propositions liées sans créer une seconde carte. Aucun environnement client n’a été testé ; cette revue n’établit pas une exploitation active.

Propositions automatiques corrigées et regroupées par Codex après lecture des sources primaires. Les conséquences opérationnelles et les perspectives restent conditionnelles.

Sources

• Node.js : bulletin de sécurité d’octobre — mise à jour du 21 octobre 2026.
• Node.js 24.22.1 — publication du 21 octobre 2026.
• Node.js 22.23.4 — publication du 21 octobre 2026.