C'est une vulnérabilité critique : si elle n'est pas corrigée, elle peut permettre une prise de contrôle du site ou une exécution de code à distance.
Cette faille affecte Node.js, le runtime Node.js, dans les versions < 22.23.4 (branche 22) · < 24.22.1 (branche 24) · < 26.12.1 (branche 26). Le correctif est disponible en version 22.23.4 / 24.22.1 / 26.12.1 selon la branche installée.
Description technique (source Node.js Foundation) : « Faille de sécurité révélée le 21 octobre 2026 dans le décodeur Brotli intégré à Node.js : un flux Brotli compressé et conçu de façon malveillante peut provoquer une écriture hors limites (out-of-bounds write), permettant l'exécution de code à distance. Surnommée « Node2Shell » par la communauté sécurité. Affecte les branches Node.js 22.x, 24.x et 26.x. »
Comment savoir si je suis touché ?
La seule manière fiable de savoir si votre site est concerné est de vérifier la version de Node.js réellement installée. ScanMonSite automatise ce contrôle à distance, en lecture seule, gratuitement.