Multiples vulnérabilités dans Node.js

25 octobre 2026Dernière info il y a 15h4 sources1 min

Ce que vous pouvez faire

Si vous administrez un serveur ou une application Node.js, installer dès que possible la dernière version corrigée de Node.js ; Vérifier la version de Node.js utilisée sur vos serveurs et dans vos outils de développement

À faire côté dev

Mettez à jour Node.js vers 22.23.4, 24.22.1 ou 26.12.1 selon votre branche, reconstruisez les images de conteneurs puis redémarrez les services ; Node.js 20, en fin de vie, ne reçoit pas de correctif.

Node.js 22.xNode.jscorrigé en 22.23.4
```
Installer Node.js 22.23.4 avec votre gestionnaire de versions ou de paquets habituel
```
Versions 22.x antérieures à 22.23.4 affectées ; correctif publié par le projet Node.js.
Node.js 24.xNode.jscorrigé en 24.22.1
```
Installer Node.js 24.22.1 avec votre gestionnaire de versions ou de paquets habituel
```
Versions 24.x antérieures à 24.22.1 affectées ; correctif publié par le projet Node.js.
Node.js 26.xNode.jscorrigé en 26.12.1
```
Installer Node.js 26.12.1 avec votre gestionnaire de versions ou de paquets habituel
```
Versions 26.x antérieures à 26.12.1 affectées ; correctif publié par le projet Node.js.

Pas encore corrigé, à surveiller

Node.js 20 (Node.js) : Branche en fin de vie : aucun correctif prévu, vous restez exposés. Migrez vers une branche supportée.

Pourquoi c’est important

Un serveur Node.js non mis à jour pourrait être pris en main à distance, ce qui exposerait les données et les services qu'il héberge. Le grand public n'est touché qu'indirectement, via les sites et applications qui utilisent cette technologie.

Synthèse

Plusieurs failles de sécurité ont été corrigées dans Node.js, un outil très répandu pour faire fonctionner des sites et des applications web. Dix vulnérabilités sont concernées, dont quatre jugées graves : elles pourraient permettre à un attaquant d'exécuter du code à distance, de contourner une politique de sécurité ou de provoquer un autre problème de sécurité non précisé par l'éditeur. Les correctifs ont été publiés autour du 22 octobre 2026 et les administrateurs sont invités à mettre à jour sans attendre.

Le mercredi 21 octobre 2026, PHP et Node. js ont publié le même jour des correctifs de sécurité. Chez Node. js, l’une des dix failles corrigées peut permettre d’exécuter du code à distance.

Source originale

journaldugeek.com

Lire l'article ↗

Prévenir un proche

WhatsApp SMS E-mail