Node.js : des correctifs ferment des fuites de mémoire et des contournements TLS
Le 11 novembre 2026, le projet international Node.js a publié des correctifs pour les branches 22.x, 24.x et 26.x de son environnement JavaScript, utilisé notamment côté serveur. Le bulletin regroupe plusieurs vulnérabilités HTTP/2, HTTPS et TLS, dont sept classées de gravité élevée par les mainteneurs.
Les versions correctives sont 22.23.5, 24.22.3 et 26.13.1. La faille CVE-2026-123864 peut exposer des données en mémoire appartenant à d’autres connexions HTTPS, dans certaines configurations de traitement des requêtes. CVE-2026-123866 concerne également une fuite de mémoire lors de la fermeture de flux HTTP/2. CVE-2026-123872 permet un contournement d’authentification par certificat client lorsque plusieurs noms d’hôte appliquent des politiques différentes et que TLS 1.2 est renégocié. Ces trois défauts concernent les branches maintenues 22, 24 et 26 avant correction.
D’autres défauts peuvent interrompre le serveur ou épuiser ses ressources. L’exposition dépend des fonctions utilisées et de la configuration de l’application : installer Node.js ne signifie pas être exposé à tous les scénarios. Le bulletin ne fournit pas de score CVSS chiffré et n’atteste pas d’exploitation malveillante effective. La mesure défensive est de mettre à jour la branche employée, y compris dans les images de déploiement, puis de vérifier la version réellement exécutée.
Sources :
