Nouvelle alerte de sécurité pour Node.js. Le projet a officiellement annoncé la publication de correctifs le 11 novembre 2026 pour remédier à plusieurs vulnérabilités, dont au moins une de gravité élevée. Les trois branches actuellement maintenues, Node.js 22, 24 et 26, sont concernées. Développeurs, administrateurs de serveurs et entreprises sont invités à préparer leurs mises à jour.
Cette annonce intervient seulement trois semaines après une précédente série de correctifs ayant corrigé dix vulnérabilités, dont une permettant potentiellement l’exécution de code à distance. Certaines de ces failles d’octobre font déjà l’objet de tentatives d’exploitation.
Node.js est un environnement d’exécution JavaScript utilisé pour faire fonctionner des applications web, des API, des services informatiques et de nombreux outils de développement. Une faille affectant ce composant peut donc avoir des conséquences importantes sur les infrastructures qui l’utilisent.
Trois versions de Node.js concernées par les prochaines mises à jour
Dans un bulletin publié le 3 novembre 2026, l’équipe de sécurité de Node.js indique préparer de nouvelles versions pour les branches suivantes :
- Node.js 26.x, devenue une version LTS le 28 octobre 2026 ;
- Node.js 24.x, également maintenue à long terme ;
- Node.js 22.x, toujours prise en charge par le projet.
Le niveau de gravité maximal annoncé est HIGH (élevé) pour chacune de ces trois branches.
À ce stade, le projet n’a pas dévoilé le nombre exact de vulnérabilités, leurs identifiants CVE, les composants touchés ni les méthodes d’exploitation. Il n’est donc pas encore possible de déterminer précisément quels types d’applications seront les plus exposés.
Les correctifs sont attendus le mercredi 11 novembre 2026, ou peu après cette date. Les numéros des futures versions corrigées ne sont pas encore connus.
Une précédente faille permettait déjà d’exécuter du code à distance
Cette nouvelle annonce intervient dans un contexte particulièrement sensible pour l’écosystème Node.js.
Le 21 octobre 2026, le projet avait publié des correctifs pour dix vulnérabilités, dont quatre considérées comme élevées. Parmi elles figure la faille CVE-2026-111497, affectant le décodeur Brotli utilisé pour décompresser certaines données.
Cette vulnérabilité peut permettre à un attaquant de provoquer une corruption de la mémoire lorsqu’une application traite des données compressées spécialement conçues. Les conséquences potentielles vont du plantage du processus jusqu’à l’exécution de code malveillant.
Le centre national de cybersécurité du NHS britannique a signalé des tentatives d’exploitation de cette vulnérabilité. La faille a également été ajoutée au catalogue des vulnérabilités exploitées de la CISA américaine.
Les correctifs correspondants ont déjà été publiés dans les versions 22.23.4, 24.22.1 et 26.12.1.
Attention : cette vulnérabilité d’octobre est distincte des nouvelles failles annoncées pour le 11 novembre. Aucun lien technique entre les deux séries n’a été établi. Les détails des vulnérabilités de novembre restent confidentiels avant la publication des correctifs.
Comment vérifier si son serveur Node.js est concerné ?
Les administrateurs peuvent dès maintenant effectuer plusieurs vérifications afin d’anticiper les prochaines mises à jour.
Première étape : identifier la version de Node.js installée. Depuis un terminal, exécutez la commande suivante :
node -vCette commande affiche la version de Node.js utilisée dans l’environnement courant. Il faut également vérifier les versions réellement exécutées en production, qui peuvent différer de celles installées sur les postes de développement.
Au 4 novembre 2026, les versions les plus récentes des branches concernées sont notamment :
- Node.js 26.13.0 ;
- Node.js 24.22.2 ;
- Node.js 22.23.4.
Ces versions intègrent les corrections de sécurité publiées en octobre, mais ne contiennent pas encore les correctifs annoncés pour le 11 novembre.
Les applications utilisant Node.js 20 ou une version antérieure doivent faire l’objet d’une attention particulière : ces branches ne bénéficient plus des mises à jour de sécurité ordinaires du projet. Une migration vers une version LTS maintenue doit être planifiée sans attendre.
Que faire avant et après le 11 novembre ?
Il n’est pas nécessaire d’attendre la publication des nouveaux correctifs pour commencer à sécuriser son environnement. Plusieurs actions peuvent être entreprises immédiatement :
- Mettre à jour Node.js dès maintenant vers la dernière version disponible de sa branche maintenue, afin de corriger notamment les failles d’octobre ;
- Recenser les applications et serveurs concernés, y compris les API, conteneurs Docker, fonctions serverless et outils de développement ;
- Préparer une fenêtre de maintenance pour déployer les nouveaux correctifs dès leur publication ;
- Tester les applications dans un environnement de préproduction afin de détecter d’éventuelles incompatibilités ;
- Vérifier les dépendances et les images de déploiement, qui peuvent embarquer leur propre version de Node.js.
Pour les développeurs utilisant NVM, une mise à jour vers la dernière version disponible de Node.js 26 pourra notamment être effectuée avec :
nvm install 26
nvm use 26
node -vCette commande installe la dernière version de la branche 26 disponible au moment de son exécution. Avant le 11 novembre, elle ne peut donc pas installer les futurs correctifs. Les utilisateurs des branches 22 et 24 peuvent adapter la commande à leur version majeure.
Pour les applications conteneurisées, il faudra également récupérer une image Node.js actualisée, reconstruire les images applicatives et redéployer les conteneurs. Mettre à jour uniquement l’installation locale du développeur ne protège pas les services déjà déployés.
Enfin, la commande npm audit ne suffit pas à détecter ou corriger les vulnérabilités du moteur Node.js lui-même. Elle analyse principalement les dépendances du projet. La mise à jour du runtime doit donc être traitée séparément.
Les administrateurs devront surveiller la publication des correctifs
Les prochains correctifs étant annoncés pour le 11 novembre, les entreprises disposent de quelques jours pour identifier leurs installations et préparer leur déploiement.
Les responsables de sites utilisant des plateformes d’hébergement managées devront également vérifier auprès de leur prestataire si les versions de Node.js sont mises à jour automatiquement et si un redémarrage des applications est nécessaire.
Le projet Node.js publiera les détails techniques sur son site officiel, dans la rubrique consacrée aux vulnérabilités. Il sera alors possible de connaître les CVE concernées, les versions corrigées et les éventuelles conditions d’exploitation.
Au 4 novembre 2026, aucune exploitation active des vulnérabilités spécifiques annoncées pour novembre n’a été publiquement confirmée. Cette absence d’information ne signifie pas qu’elles sont sans risque : le projet a précisément choisi d’avertir les utilisateurs avant leur divulgation complète.
La priorité est donc double : installer sans attendre les correctifs de sécurité déjà disponibles et se préparer à une nouvelle mise à jour le 11 novembre. Pour les entreprises exploitant des applications Node.js en production, l’enjeu est d’éviter de laisser fonctionner des services vulnérables plusieurs jours après la disponibilité des correctifs.