Node.js fixe 16 vulnérabilités dans les version 22, 24 et 26

Niveau C · À surveiller – Vérifiez si vous êtes concernés

Niveau C, parce que : Touche les équipes tech

Portée

Attaque

Dégâts

Correctif

À distance, sans identifiants

Que faire

Mettre à jour Node.js vers la dernière version corrective de sa branche (22, 24 ou 26)

L’essentiel

Node.js a publié le 11 novembre des mises à jour de sécurité pour les versions 22, 24 et 26.
Ces mises à jour corrigent 16 vulnérabilités, dont CVE-2026-123864 (accès à la mémoire TLS) et CVE-2026-123863 (plantage du serveur HTTP/2).
Plusieurs dépendances sont également mises à jour : llhttp, undici et sqlite.

Pourquoi c’est important

Les applications qui tournent sur Node.js 22, 24 ou 26 sont concernées par ces failles, dont certaines touchent la couche TLS et HTTP/2. Il faut appliquer les correctifs dès que possible.

La check-list derrière le niveau

Check-list · 2 oui sur 10 · estimé à partir de données plus anciennes, pas encore vérifié auprès des sources

Oui	Touche les équipes tech	Cela touche-t-il des logiciels, des équipements ou des services avec lesquels des développeurs, des équipes d'exploitation ou des équipes informatiques construisent, qu'ils exploitent ou dont ils sont responsables ?
Non	Infrastructure de base	La faille se trouve-t-elle dans un logiciel que presque toutes les équipes exploitent, ou ce logiciel a-t-il été compromis ?
Non	Outil répandu	La faille se trouve-t-elle dans un framework, un outil, une plateforme, un système d'exploitation ou un paquet très utilisé, ou celui-ci a-t-il été compromis ?
Non	Activement exploitée	Les sources font-elles état d'attaques réelles qui l'exploitent ?
Non	Exploit public	Un exploit fonctionnel ou une preuve de concept détaillée a-t-il été publié ?
Oui	À distance, sans identifiants	CVSSCVE-2026-123864 : CVSS 8,1 – par le réseau, sans privilèges, sans interaction de l'utilisateur
Non	Compromission totale	CVSSCVSS : aucune CVE n'a à la fois un impact élevé sur la confidentialité et sur l'intégrité
Non	Secrets exposés	Des identifiants, jetons, clés, configurations, du code source ou des données clients ont-ils été volés ou exposés ?
Non	Chaîne d'approvisionnement	Du code malveillant a-t-il été distribué par un canal auquel les développeurs font confiance ?
Non	Pas encore de correctif	N'existe-t-il pas encore de version corrigée ?

Les données officielles

D’après CVE.org, le catalogue Known Exploited Vulnerabilities de la CISA, FIRST EPSS et la GitHub Advisory Database. Quand ces sources répondent à un critère de la check-list, elles priment sur les articles.

CVE-2026-123864 ↗CVSS 8.1 high AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:H
Node.js is vulnerable to cross-connection memory disclosure via TLS write re-entrancy in the HTTPS request parser
Exploitée
Absente du catalogue d’exploitation de la CISA
Faiblesse
CWE-416
NVD GHSA-m526-rv55-w6mr
CVE-2026-123863 ↗CVSS 8.2 high AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H
Node.js is vulnerable to a remote HTTP/2 denial of service via a reachable assertion in Http2Session teardown
Exploitée
Absente du catalogue d’exploitation de la CISA
Faiblesse
CWE-617
NVD GHSA-cwc7-c9hg-jq89

Chronologie

11 nov.
Node.js publie des mises à jour de sécurité corrigeant 16 vulnérabilités pour les versions 22, 24 et 26
12 nov. · 7:25
Programmez! - Toute l'actualité
Node.js fixe 16 vulnérabilités dans les version 22, 24 et 26

Source

Node.js fixe 16 vulnérabilités dans les version 22, 24 et 26 ↗ Programmez! - Toute l'actualité · il y a 4 h

Repéré le il y a 4 h · 1 source · Page complète de l’article · Comment les niveaux sont attribués