Mises à jour de sécurité critiques pour PHP et Node.js publiées le 21 octobre, corrigeant des vulnérabilités pouvant permettre l'exécution de code à distance.
PHP et Node.js publient des mises à jour de sécurité urgentes
Les équipes qui gèrent des sites web construits avec PHP et des API utilisant Node.js ont dû appliquer deux séries de mises à jour de sécurité urgentes ce mercredi 21 octobre. Ces correctifs visent des vulnérabilités critiques que l'on attendait depuis un certain temps.PHP corrige deux failles critiques
PHP a publié des correctifs pour deux vulnérabilités critiques le 21 octobre. Ces problèmes étaient attendus depuis la veille, ce qui a incité les développeurs à se préparer à mettre à jour leurs systèmes.Node.js corrige dix vulnérabilités
Le projet Node.js a publié le même jour trois versions mises à jour, les 22.23.4, 24.22.1 et 26.12.1, pour corriger dix vulnérabilités. Quatre d'entre elles sont classées comme présentant une gravité élevée, dont une permettant l'exécution de code à distance sur un serveur.GitLab règle une faille ancienne
La même semaine, GitLab a corrigé une vulnérabilité critique notée 10 sur 10, présente depuis 2014. Cette faille a été découverte et corrigée dans le cadre des efforts de sécurité continus de l'entreprise.Node.js est moins répandu mais utilisé par de grands sites
Node.js, qui permet d'exécuter du JavaScript sur des serveurs, est moins répandu que PHP en nombre de sites web. Selon les données de W3Techs datées du 9 septembre 2026, il sert de serveur web pour 7 % des sites dont le serveur est connu. Il alimente toutefois 22 % des 1 000 sites les plus visités.Node.js a suivi son calendrier habituel
La mise à jour du 21 octobre s'inscrivait dans le calendrier habituel de Node.js, annoncé à l'avance. Les correctifs précédents avaient été publiés le 29 juillet, et aucune fuite ni attaque exploitant ces vulnérabilités n'avait été signalée avant la mise à jour.La faille la plus grave touche le décodeur Brotli
La vulnérabilité la plus sérieuse, CVE-2026-111497, affecte le décodeur Brotli de Node.js. Brotli est un format de compression créé par Google, utilisé pour réduire la taille des pages web et des données échangées entre serveurs.Node.js met à jour plusieurs dépendances
Node.js a également mis à jour plusieurs dépendances, dont c-ares, OpenSSL, SQLite et Undici. Il bloque désormais l'autorité de certification eMudhra, dont la compromission a été constatée, et refuse les chaînes de certificats contenant une clé révoquée.Les utilisateurs sont invités à vérifier et mettre à jour leurs versions
Il est conseillé aux utilisateurs de vérifier la version de Node.js installée à l'aide de la commande node -v, puis de passer à la version corrigée de leur branche. Si les applications fonctionnent dans des conteneurs, la mise à jour de la machine ne suffit pas : il faut reconstruire les images et redémarrer les services concernés.Les branches en fin de vie restent vulnérables
Node.js rappelle que les branches en fin de vie, comme Node.js 20, sont touchées par chaque version de sécurité mais ne reçoivent plus de correctifs. Les développeurs qui utilisent ces branches devraient envisager de passer à des versions prises en charge.PHP publie des versions spécifiques
PHP a publié des versions corrigées pour les 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les versions plus anciennes, dont PHP 8.1 et antérieures, n'ont reçu aucune mise à jour et restent donc exposées aux mêmes problèmes.
