Vulnérabilité d’exécution de code à distance dans la décompression Brotli touchant Node.js et .NET (Node2Shell, CVE-2026-111497)

Résumé

Les 21 et 22 octobre 2026, Node.js et Google ont divulgué la vulnérabilité CVE-2026-111497 (Node2Shell), une écriture hors limites dans la bibliothèque de décompression Brotli intégrée à Node.js, à .NET et à d’autres logiciels. Un attaquant capable de fournir des données Brotli malveillantes, par exemple dans une requête ou une réponse HTTP, pourrait faire planter une application, lire sa mémoire ou exécuter du code. Google la juge critique (score CVSS 4.0 de 9,2) et une preuve de concept est publiée. Le Centre canadien pour la cybersécurité a publié le bulletin AV26-1085 le 26 octobre 2026.

CVE : CVE-2026-111497

Statut : en cours d’analyse

Nimble vérifie si ses produits, services ou systèmes sont touchés. Nimble vérifie ses produits et services destinés aux clients, ses systèmes internes et l’infrastructure de son fournisseur d’hébergement afin de repérer Node.js, .NET et les autres logiciels qui intègrent la bibliothèque de décompression Brotli.

Cet avis sera mis à jour une fois la vérification terminée.

Références

• Centre canadien pour la cybersécurité, bulletin AV26-1085: cyber.gc.ca
• Mises à jour de sécurité de Node.js d’octobre 2026: nodejs.org
• Avis de sécurité Microsoft .NET CVE-2026-111497: github.com
• Versions de Google Brotli: github.com