veilletech.frCe qui se passe
Le 27 octobre, la CISA a ajouté deux failles à son catalogue des vulnérabilités activement exploitées (KEV) :
| CVE | Produit | CVSS | Effet |
|---|---|---|---|
| CVE-2026-111497 | Google Brotli | 9,2 | corruption de mémoire du décodeur, fuite mémoire, déni de service, exécution de code possible |
| CVE-2026-48356 | Adobe Commerce et Magento | 9,3 | téléversement de fichier dangereux, exécution de code dans le contexte de l'utilisateur courant |
La première est celle que nous avons traitée sous le nom de Node2Shell, aussi appelée Broccoli2Shell et HTTP2Shell. La seconde est PolyShell.
Ce qui a changé depuis nos fiches précédentes
Jusqu'ici, l'exploitation de la faille Brotli relevait de la démonstration. Trois éléments nouveaux :
- ELLIO a enregistré lundi du trafic d'exploitation réel, « portant l'exploit public dont nous avons confirmé qu'il obtient un shell sur les builds vulnérables ». La charge visait précisément node v24.22.0 et provenait de 94.154.43.7, adresse localisée aux Pays-Bas, déjà vue à l'œuvre contre PHP2Shell. ELLIO y voit « un opérateur tourné vers l'exploitation de masse ».
- Previdian ne compte, au 27 octobre, qu'une seule tentative sur ses capteurs, depuis une adresse américaine : l'ampleur réelle reste inconnue.
- Côté PolyShell, Sansec a observé des attaquants compromettant des centaines de boutiques en injectant un chargeur via un bloc CMS Magento. Aucune charge de deuxième étage n'a été récupérée, donc l'objectif final reste indéterminé ; l'activité remonterait à juillet 2025 au moins.
Ce qu'il faut mettre à jour
Node.js : versions 22.23.4, 24.22.1 et 26.12.1. Akamai le dit sans détour : l'avis Node.js ne propose aucun contournement, la mise à jour est la seule remédiation complète. Une ligne de version abandonnée doit migrer vers une ligne encore suivie.
Adobe Commerce et Magento : le correctif d'Adobe, publié quelques jours avant que les attaques ne soient observées.
Brotli étant largement diffusé, la réponse a été massive. Ont publié un correctif
ou une évaluation : PHP (builds Windows 8.5.12-1, 8.4.27-1, 8.3.36-1,
8.2.35-1), Node.js, Bun, Envoy, Istio, .NET, Python,
ClickHouse, l'extension PHP Brotli et la gem Ruby brotli, ainsi qu'Amazon
Linux, Broadcom, Cisco, Cloudflare, CloudLinux, F5, Fortinet, Microsoft Azure,
Palo Alto Networks, Red Hat, Strapi et Ubuntu.
Comment prioriser
Deux lectures s'opposent, et elles sont utiles ensemble :
- Wiz annonce que 91 % des environnements cloud comportent des ressources vulnérables et 82 % exposent publiquement des instances Node.js.
- Sysdig nuance : « Node2Shell n'est pas un bug de tout service Node.js, mais des services qui décodent du Brotli sous influence d'un attaquant. » Avec Express 5 et son analyse JSON par défaut, beaucoup d'instances tombent dans ce groupe. D'où leur conseil : ordonner les correctifs selon l'atteignabilité.
Autrement dit : commencez par ce qui décompresse des données venues du réseau.
Source : The Hacker News, 28 octobre 2026. Source en anglais, citant les avis de la CISA, Sansec, ELLIO, Previdian, Rapid7, Sysdig, Wiz et Akamai.