Faille nommée Node2Shell exploitée dans des attaques

Une faille de sécurité critique, identifiée sous le nom CVE-2026-111497 et surnommée Node2Shell ou Broccoli2Shell, est activement exploitée dans des attaques réelles, alors même que des correctifs ont été publiés pour Node.js et .NET. La Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis a ajouté cette faille à sa liste des vulnérabilités connues et exploitées (KEV), confirmant que des acteurs malveillants l'ont utilisée avec succès.

Correctifs publiés, mais les attaques se poursuivent

Des correctifs pour cette vulnérabilité ont été publiés le 21 octobre par l'équipe de développement de Node.js et par les développeurs de la bibliothèque de compression Brotli. Seulement quatre jours plus tard, Microsoft a publié des mises à jour d'urgence pour .NET. La faille touche plusieurs versions de Brotli sur toutes les plateformes, notamment les versions 1.0.3 à 1.0.9, 1.1.0 et 1.2.0.

Une note de gravité élevée attribuée à la faille

L'équipe de sécurité de Google a attribué à la vulnérabilité un score CVSS de 9,2 sur 10, ce qui indique un niveau de gravité critique. La faille permet aux attaquants de manipuler la mémoire d'une application lors de la décompression de données, ce qui peut entraîner des plantages, l'exposition d'informations sensibles, voire l'exécution de code à distance.

Exécution de code à distance démontrée lors de tests

Des chercheurs de la société de cybersécurité Imperva ont précédemment montré qu'il était possible d'exécuter du code arbitraire sur un serveur Node.js vulnérable dans un environnement de test contrôlé. Toutefois, la CISA n'a pas communiqué de détails sur les attaques réelles, notamment l'identité des attaquants, les systèmes ciblés ou le nombre d'utilisateurs touchés.

Une vulnérabilité qui touche plusieurs environnements logiciels

La faille ne se limite pas aux environnements JavaScript. Le décodeur Brotli vulnérable est également utilisé dans .NET, Bun, Envoy, Istio et certaines bibliothèques Python. Le risque concerne toute application qui décompresse des données contrôlées par un attaquant, qu'il s'agisse de requêtes entrantes adressées à un serveur ou de réponses sortantes reçues par un client HTTP. L'utilisation de la compression Brotli pour les pages web ne rend pas automatiquement un service vulnérable.

La CISA recommande des mesures d'atténuation pour les systèmes concernés

La CISA recommande aux administrateurs d'examiner les composants utilisés dans leurs applications, de redémarrer les processus concernés et de reconstruire les images de conteneurs qui incluent des versions vulnérables de Brotli. En attendant, l'agence conseille de bloquer la décompression de contenus Brotli provenant de sources non fiables afin de réduire le risque d'exploitation.