Faille Brotli CVE-2026-111497 : RCE sur Node.js, Bun, Python et Envoy
24 octobre 2026 · Cybersécurité
Une faille de corruption mémoire (CVE-2026-111497) dans le décodeur Brotli de Google affecte de nombreux logiciels populaires : Node.js, Bun, Python, Envoy et Istio. Imperva a démontré une exécution de code à distance (RCE) sur un build Node.js non patché, mais aucune exploitation réelle n'a été signalée à ce jour. Google note la faille 9.2/10 (critique) sur CVSS 4.0, et des correctifs ont été publiés le 21 octobre 2026. Chaque logiciel embarquant sa propre copie du décodeur C doit appliquer sa propre mise à jour.
Impact marchés
Ecosystème open source et cloud : Node.js, Bun, Python, Envoy (CNCF/Google), Istio. Fournisseurs cloud exposés (Amazon Linux 2023 encore non patché au 22 oct.). Vercel a déployé des règles WAF le jour J. Impact sur les entreprises utilisant ces runtimes en production.
Opportunités
Opportunité pour les fournisseurs de sécurité applicative (WAF, DAST, SCA) et de gestion de vulnérabilités. Risque pour les organisations n'ayant pas encore patché leurs runtimes Node.js, Bun ou leurs images Docker. Les scanners de dépendances Python (Dependabot) ne détectent pas encore fiablement les packages affectés.