CVE-2026-111497 : une faille dans le décodeur Brotli affecte Node.js, Bun, Python, .NET et Envoy — ce que vous devez mettre à jour maintenant

Le décodeur Brotli de Google contient, dans les versions 1.0.3 à 1.2.0, une erreur qui permet à des données Brotli forgées d’écraser de la mémoire hors d’un tampon. La faille porte l’identifiant CVE-2026-111497 et une note de 9.2 selon CVSS 4.0 ; elle est connue publiquement sous les noms Node2Shell et Broccoli2Shell. Les conséquences possibles sont un plantage, la lecture de la mémoire du processus ou l’exécution de code. Imperva a démontré l’exécution de code sur un Node.js 24.22.0 non modifié. Du code de preuve de concept est en partie public, mais aucune attaque active n’est connue à ce jour. Node.js a publié les correctifs le 21 octobre 2026, les autres écosystèmes ont suivi jusqu’au 26 octobre.

Après cette annonce, j’ai vérifié mes propres systèmes : le runner de build de ce site utilisait encore Node.js 22.23.1, alors que la version 22.23.4 était disponible depuis plusieurs jours. La raison est expliquée dans la section consacrée à GitHub Actions plus bas ; elle concerne tous les runners auto-hébergés utilisant actions/setup-node.

Cause

L’erreur se situe dans la fonction DecodeBlockTypeAndLength(). Elle traite les changements de bloc dans le flux de données compressé, c’est-à-dire les emplacements où le décodeur passe à un autre code Huffman. Dans les versions vulnérables, la fonction ne renvoie qu’une valeur booléenne ; BROTLI_FALSE signifie à la fois « flux de données incorrect » et « entrée supplémentaire nécessaire ». Un flux forgé déclare un seul type de bloc et épuise sa longueur, forçant ainsi un changement qui ne peut pas réussir. Le décodeur interprète cela comme une entrée manquante, ajoute des octets supplémentaires à un tampon interne de 8 octets et écrit ainsi au-delà de sa fin.

Le correctif upstream (commit 0ed4268 dans le dépôt google/brotli) introduit un code d’erreur distinct BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH et interrompt le décodage. OpenAI Codex Security avait déjà signalé l’erreur en février 2026. Le correctif avait alors été intégré au code source, mais n’avait pas été considéré comme une correction de sécurité et n’était apparu dans aucune version. Il n’a été livré qu’avec Brotli 1.2.1 et les versions de Node.js du 21 octobre 2026.

Quand un système est vulnérable

Compresser avec Brotli ne présente aucun risque ; seuls sont vulnérables ceux qui décompressent des données Brotli provenant d’une source externe. Il existe deux directions :

• Client : l’application récupère une URL et décode une réponse avec Content-Encoding: br. Le fetch() intégré de Node.js et Bun le fait automatiquement et ne peut pas être désactivé. Sont donc concernés les crawlers, les récepteurs de webhooks avec rappel, les aperçus de liens, les scripts de surveillance et toute automatisation qui charge du contenu depuis des serveurs tiers. Pour cela, il suffit à un attaquant de contrôler l’un des serveurs interrogés.
• Serveur : un framework ou un middleware décompresse des corps de requête avec Content-Encoding: br. Imperva cite pour Node.js body-parser 2.0.0 à 2.3.0 et Express 5.0.0 à 5.3.0 avec des parseurs configurés json() ou raw(). Un serveur http Node.js nu ne décode pas lui-même les corps entrants.

Apache mod_brotli et les modules Brotli répandus pour nginx ne font que compresser et ne sont donc pas concernés. Envoy et Istio ne sont vulnérables que si le filtre de décompression Brotli est configuré ; Istio ne l’active pas par défaut.

Composants concernés et versions corrigées

Les autres bindings pour PHP, Ruby et Go (cgo) dépendent de la libbrotli du système ou embarquée. Parmi les distributions Linux, Debian 12 et 13, Alpine et Amazon Linux 2023 disposaient de paquets corrigés le 26 octobre ; Fedora et Red Hat étaient partiellement corrigés, tandis que le correctif était encore en attente pour Ubuntu et SUSE.

Trouver les versions concernées

Pour Node.js, Python et la bibliothèque système, trois commandes suffisent. Sous Windows, node -v donne le même résultat que sous Linux.

node -v
pip show Brotli brotlicffi
pipdeptree -r -p Brotli

Sous Debian/Ubuntu et Alpine, le gestionnaire de paquets affiche la version de la bibliothèque système :

dpkg -l 'libbrotli*'
apk info -v brotli-libs

Les images de conteneur doivent être vérifiées séparément : un hôte mis à jour ne sert à rien si l’image contient une ancienne version de Node.js ou une libbrotli embarquée. Après la mise à jour, les images doivent être reconstruites et les workloads en cours redémarrés ; pour Bun et brotli4j, cela s’applique également aux applications qui lient Brotli statiquement.

Runners GitHub auto-hébergés : setup-node prend la version depuis le cache

actions/setup-node avec node-version: 22 ne vérifie pas par défaut si une version 22 plus récente existe. Si une version appropriée est déjà présente dans le cache d’outils du runner, elle est utilisée. Sur les runners hébergés par GitHub, l’image est régulièrement redéployée ; un runner auto-hébergé conserve en revanche son cache jusqu’à ce que quelqu’un le vide. Le journal indique alors par exemple Found in cache @ .../_tool/node/22.23.1/x64.

Une ligne supplémentaire dans chaque étape setup-node résout le problème :

- uses: actions/setup-node@v4
  with:
    node-version: 22
    check-latest: true

Il est également possible d’indiquer explicitement la version minimale (node-version: 22.23.4) ; elle doit alors être mise à jour à chaque publication de sécurité. C’est particulièrement pertinent pour les pipelines qui récupèrent du contenu depuis des serveurs externes, tels que les scanners, les vérificateurs de liens ou les flux : fetch() y communique avec des serveurs que vous ne contrôlez pas, et le runner a généralement accès aux secrets de déploiement.

Si une mise à jour immédiate n’est pas possible

Les mesures d’atténuation agissent au niveau du décodage :

• Entrant : rejeter au niveau du proxy inverse ou du middleware les requêtes dont Content-Encoding contient br. La comparaison doit ignorer la casse et couvrir également les listes telles que gzip, br.
• Sortant : retirer br de Accept-Encoding et rejeter les réponses avec Content-Encoding: br avant le décodage. Le retirer uniquement de Accept-Encoding ne suffit pas, car un serveur forgé peut tout de même envoyer cet encodage. Cela n’est pas possible avec le fetch() intégré de Node.js et Bun ; seule la mise à jour aide dans ce cas.
• curl : omettre --compressed ; dans libcurl, laisser CURLOPT_ACCEPT_ENCODING sur NULL.
• Python : désinstaller Brotli et brotlicffi, et supprimer des dépendances les extras tels que httpx[brotli]. urllib3, requests et aiohttp reviennent alors à gzip et deflate.
• Envoy/Istio : supprimer le décompresseur Brotli de la configuration ou des EnvoyFilters et vérifier la configuration en cours d’exécution.

Cloudflare Workers et navigateurs

Les personnes qui exploitent des applications sous forme de Cloudflare Worker n’exécutent pas leur propre processus Node.js ; le runtime workerd est exploité et mis à jour par Cloudflare. Cloudflare n’avait pas publié de déclaration sur CVE-2026-111497 au 26 octobre ; les clients ne peuvent rien modifier dans le runtime lui-même. Les outils autour du Worker restent toutefois concernés : les scripts de build, wrangler et les environnements de développement locaux s’exécutent sur Node.js et devraient utiliser une version corrigée. Les navigateurs utilisent leurs propres implémentations de Brotli ; ils ne sont pas cités comme concernés dans les communications des éditeurs et des chercheurs en sécurité.

Chronologie