veilletech.frCe qui se passe
Le 11 novembre, Node.js a publié 22.23.5, 24.22.3 et 26.13.1. Elles corrigent 16 failles du runtime, dont 7 hautes, toutes dans le code serveur HTTP/2, HTTPS et TLS : elles concernent un processus Node qui accepte lui-même ces connexions. L'avis ne propose aucun contournement.
Les sept failles hautes
| CVE | Branches | Effet |
|---|---|---|
| CVE-2026-123863 | 24, 26 | plantage d'un serveur HTTP/2 par défaut qui répond avant la fin du corps de requête, en clair comme en TLS |
| CVE-2026-123866 | 22, 24, 26 | le serveur envoie des morceaux de sa mémoire, réponses d'autres connexions comprises |
| CVE-2026-123864 | 22, 24, 26 | serveur HTTPS : lecture de la mémoire d'autres connexions, clés privées TLS comprises selon le projet |
| CVE-2026-123865 | 22, 24, 26 | un client fait retenir mémoire et descripteurs de fichiers à tout serveur HTTP/2 par défaut |
| CVE-2026-123874 | 24, 26 | corruption mémoire avec stream.respondWithFile() ou stream.respondWithFD() |
| CVE-2026-126051 | 24, 26 | plantage d'un serveur TLS qui utilise SNICallback, OCSPRequest, newSession, resumeSession ou server.addContext() |
| CVE-2026-123872 | 22, 24, 26 | en renégociation TLS 1.2, un client admis pour un nom d'hôte bascule sur un autre aux règles de certificat client plus strictes |
CVE-2026-123866 se déclenche par le client seul à partir de 24.22.0 et 26.9.0 ; avant, il faut que le serveur
ferme un flux en cours de réponse, sur délai d'inactivité par exemple. CVE-2026-123864 suppose un handler qui
appelle res.flushHeaders() avant la fin du corps, puis res.end() avec des données, et une route qui renvoie ou
stocke le corps reçu ; node:http en clair n'est pas concerné.
Les neuf autres
CVE-2026-123875 (plantage à l'annulation d'un respondWithFile()), CVE-2026-123828, CVE-2026-123867,
CVE-2026-123868, CVE-2026-123871, CVE-2026-123877, CVE-2026-123829, CVE-2026-123862 et CVE-2026-123873.
Ce que ça change
- Mettez chaque processus à la version corrigée de sa branche, images Docker comprises.
- 20.x et 25.x, en fin de vie, ne reçoivent rien : le projet les tient pour toujours vulnérables.
- Aucune attaque n'est signalée, et l'avis ne dit pas s'il faut changer les clés TLS d'un serveur exposé à CVE-2026-123864.
Cinq de ces failles, dont CVE-2026-123863 et CVE-2026-123864, ont été signalées par Chris Rohlf avec Claude et Anthropic Research.
Source : The Hacker News, en anglais. Détail dans l'avis de sécurité de Node.js et les notes de version 26.13.1.