// CLUBIC — CYBERSECURITY
Node2Shell : la faille critique qui touche Node.js et .NET est désormais exploitée par des pirates
Déjà corrigée dans Node.js et .NET, la vulnérabilité CVE-2026-111497 est désormais exploitée par des pirates. La CISA appelle à appliquer les mises à jour disponibles sans attendre.
Le 21 octobre dernier, les équipes de Node.js et les développeurs de Brotli publiaient des correctifs contre CVE-2026-111497, une vulnérabilité critique dans le décodeur de cet algorithme de compression très utilisé sur le web. Quatre jours plus tard, Microsoft déployait à son tour des mises à jour d’urgence pour .NET. Surnommée Node2Shell ou Broccoli2Shell, la faille permet de corrompre la mémoire d’une application qui décompresse des données piégées, au risque de provoquer un plantage, d’exposer des informations sensibles ou de permettre l’exécution de code à distance. Mais les patchs n’ont pas clos l’affaire : la CISA vient de confirmer que des pirates exploitent déjà cette vulnérabilité dans des attaques réelles.
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Quelques jours plus tôt, les chercheurs d’Imperva avaient réussi à exécuter du code à distance sur un serveur Node.js vulnérable, mais leur démonstration se déroulait dans un environnement de test. La CISA a depuis inscrit CVE-2026-111497 à son catalogue KEV (Known Exploited Vulnerabilities), qui recense les failles dont l’exploitation par des acteurs malveillants a été confirmée.
La vulnérabilité, à laquelle Google attribue un score CVSS de 9,2 sur 10, présente un niveau de gravité critique et touche les versions 1.0.3 à 1.0.9, 1.1.0 et 1.2.0 de Brotli, sur toutes les plateformes. La CISA ne fournit toutefois aucun détail sur les attaques qui ont motivé cette inscription. Elle ne précise ni l’identité des pirates, ni les systèmes visés, ni les méthodes employées. Aucun bilan des victimes n’est communiqué non plus, ce qui ne permet pas de mesurer l’ampleur de l’exploitation.
Malgré son surnom, Node2Shell ne concerne pas uniquement l’environnement d’exécution JavaScript. Le décodeur vulnérable est également utilisé par .NET, Bun, Envoy, Istio et certaines bibliothèques Python. Selon les logiciels, il peut être intégré directement à l’application ou fourni par une dépendance, ce qui complique le repérage des versions à corriger.
Tous les logiciels utilisant Brotli ne sont toutefois pas exposés de la même manière. Le risque concerne les applications qui décompressent des données contrôlées par un attaquant, qu’il s’agisse de requêtes reçues par un serveur ou de réponses récupérées par un client HTTP. Utiliser Brotli pour compresser des pages web ne rend donc pas automatiquement un service vulnérable.
Les correctifs sont disponibles, mais les administrateurs doivent vérifier les composants utilisés par leurs applications, redémarrer les processus concernés et reconstruire les images de conteneurs qui embarquent une version vulnérable. En attendant les mises à jour, la CISA recommande d’empêcher la décompression des contenus Brotli provenant de sources non fiables.