Node.js : exploit RCE via données Brotli malveillantes démontré
23 octobre 2026 · Cybersécurité
Des chercheurs d'Imperva ont démontré l'exploit Node2Shell, permettant l'exécution de code à distance sur un build officiel de Node.js 24.22.0 via des données Brotli malveillantes (CVE-2026-111497). La faille affecte les lignes 22.x, 24.x et 26.x, notamment via les middlewares Express 5. Node.js a publié un correctif le 21 octobre (version 24.22.1) et aucune exploitation dans la nature n'a été signalée à ce jour. Vercel a ajouté des règles de blocage côté inbound, mais le correctif reste la seule solution définitive.
Impact marchés
Écosystème Node.js et applications web basées sur Express 5 concernés. Éditeurs de CDN et plateformes cloud hébergeant du Node.js (Vercel notamment) doivent agir. Imperva (WAF) bénéficie d'une visibilité accrue.
Opportunités
Opportunité pour les fournisseurs de WAF et de sécurité applicative (Imperva, Cloudflare). Risque pour les entreprises n'ayant pas mis à jour leurs environnements Node.js, notamment celles utilisant Express 5 avec décodage Brotli de requêtes non fiables.