// FRANDROID — CYBERSECURITY
PHP puis Node.js : deux mises à jour urgentes pour les serveurs web
Les équipes qui font tourner à la fois des sites PHP et des API Node.js ont dû enchaîner deux mises à jour urgentes ce mercredi 21 octobre. PHP a d’abord publié les correctifs de ses deux failles critiques, attendus depuis la veille, comme nous l’expliquions lors de l’annonce. Le projet Node.js a suivi le même jour avec les versions 22.23.4, 24.22.1 et 26.12.1, qui corrigent dix failles d’un coup selon son avis de sécurité. Quatre sont classées à sévérité haute, dont une qui permet de prendre la main sur un serveur à distance. Et dans la même semaine, GitLab a lui aussi corrigé une faille critique notée 10 sur 10, présente depuis 2014.
Node.js, l’environnement qui permet de faire tourner du JavaScript sur un serveur, est moins répandu que PHP en nombre de sites. D’après les relevés de W3Techs au 9 septembre 2026, il sert de serveur web à 7 % des sites dont on connaît le serveur. Par contre, ce chiffre monte à 22 % parmi les 1 000 sites les plus visités.
Node.js a suivi son calendrier habituel. La date du 21 octobre était annoncée à l’avance, et sa précédente série de correctifs remontait au 29 juillet. Aucune fuite n’a été signalée avant la publication, et Node.js ne fait état d’aucune attaque exploitant ces failles.
La faille la plus grave, CVE-2026-111497, touche le décodeur Brotli de Node.js. Brotli est un format de compression créé par Google, très utilisé pour alléger les pages web et les échanges entre serveurs. Le décodeur peut écrire en dehors de la zone mémoire qui lui est réservée, ce qui ouvre la porte à l’exécution de code choisi par l’attaquant.
Node.js met aussi à jour plusieurs dépendances, dont c-ares, OpenSSL, SQLite et Undici. Surtout, son magasin de certificats bloque désormais l’autorité de certification eMudhra, qui a été compromise, et refuse les chaînes de certificats contenant une clé révoquée, même quand le certificat racine reste reconnu.
Vérifiez la version installée avec la commande node -v, puis passez à la version corrigée de votre branche :
Si vos applications tournent dans des conteneurs, mettre à jour la machine ne suffit pas : reconstruisez les images et redémarrez les services concernés.
Les branches en fin de vie, comme Node.js 20, restent vulnérables : Node.js rappelle qu’elles sont touchées à chaque publication de sécurité, et elles ne reçoivent plus de correctifs. Côté PHP, les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. PHP 8.1 et les versions plus anciennes n’ont reçu aucune mise à jour.
Un petit geste pour Frandroid ? Abonnez-vous à Frandroid sur Google pour ne manquer aucun de nos articles.
Et le second meilleur moyen de nous donner un coup de pouce, c’est d’ajouter Frandroid à vos sources préférées sur Google.