Qualys · 28 octobre 2026 · Cyber & GRC
Node.js : des protections temporaires en attendant la mise à niveau
Node.js corrige CVE-2026-111497, une faille du décodeur Brotli pouvant permettre l’exécution de code à distance, dans les versions 22.23.4, 24.22.1 et 26.12.1. Qualys décrit des mesures d’atténuation temporaires et indique que Qualys ETM intégrera prochainement ces contrôles dans les scores de risque. La mise à niveau du moteur d’exécution reste le seul correctif complet.
Ce qui est annoncé
Qualys présente des mesures de protection provisoires pour les environnements Node.js en attente de mise à niveau. Elles concernent notamment CVE-2026-111497, une faille du décodeur Brotli susceptible de permettre une exécution de code à distance, ainsi que des vulnérabilités touchant DNS et TLS. Les versions corrigées citées sont 22.23.4, 24.22.1 et 26.12.1. Les recommandations visent à limiter le traitement de données Brotli non fiables, adapter certaines résolutions DNS, normaliser les adresses IP et désactiver les connexions persistantes vers des serveurs non maîtrisés. Elles ne constituent pas un contournement officiel et ne couvrent pas toutes les possibilités d’exploitation.
L’éditeur décrit également l’apport de protections WAF, IPS et EDR, dont la couverture dépend des règles activées et des processus effectivement surveillés. En parallèle, Qualys ETM fait l’objet de développements destinés à recommander des contrôles tiers, à tenir compte des protections déployées dans les scores de risque et à permettre l’application de mesures via TruRisk Eliminate. Ces évolutions restent en développement et peuvent changer. Elles ne remplacent pas la mise à niveau de Node.js, présentée comme la seule correction complète.
Ce que ça change pour les entreprises
Pour les DSI, la difficulté tient autant au repérage des environnements vulnérables qu’au déploiement des correctifs. Node.js peut être intégré à des images de conteneurs, des applications exécutables autonomes ou des fonctions serverless que les contrôles de dépendances ne repèrent pas nécessairement. La priorité peut être donnée aux services exposés à Internet qui décompressent des données Brotli non fiables, en tenant compte de leur criticité métier. Les branches en fin de vie nécessitent une migration vers une version maintenue.
Les protections temporaires peuvent réduire l’exposition pendant cette transition, mais demandent des vérifications et des tests applicatifs : certains réglages modifient le comportement des applications. La remédiation suppose aussi de reconstruire et redéployer les composants embarquant Node.js, puis de redémarrer les services concernés. Un nouveau contrôle est nécessaire pour vérifier que les copies vulnérables ne restent pas présentes ou actives.
Comment UNEETY peut vous accompagner
Une ESN comme UNEETY peut accompagner le cadrage des priorités, l’intégration des protections temporaires et la sécurisation des mises à niveau. Elle peut également aider les équipes à organiser les tests, les redéploiements et l’adoption des procédures de vérification.
Découvrez notre offre Cyber & GRC ou contactez-nous.
Source : annonce Qualys du 28 octobre 2026.