Faille Brotli (CVE-2026-111497) : Node.js, .NET et PowerShell à mettre à jour
Brotli, vous n’en avez probablement jamais entendu parler. C’est pourtant l’outil de compression qui rend des millions de sites et d’applications plus rapides, et il est maintenant au centre d’une alerte : la faille Brotli CVE-2026-111497, surnommée Node2Shell, Broccoli2Shell ou HTTP2Shell, est exploitée par des pirates. La CISA américaine l’a ajoutée à son catalogue des failles exploitées le mardi 27 octobre. Le Centre canadien pour la cybersécurité a publié une alerte le 28 octobre, et le CERT/AQ du Québec aussi.
Le piège pour une PME : Brotli ne s’installe pas seul. Il vient caché dans Node.js, .NET, PowerShell, des conteneurs Docker ou des logiciels de fournisseurs. Voici comment savoir si vous êtes touché, et quoi corriger en premier.
La faille Brotli en clair
Le défaut se trouve dans le décodeur de Brotli, la partie qui décompresse les données. Un attaquant qui réussit à faire décompresser des données piégées à votre application peut écrire en dehors de la zone de mémoire prévue. Selon l’alerte du Centre pour la cybersécurité, l’attaque se fait à distance et sans mot de passe, et peut mener à un plantage, à une fuite de renseignements en mémoire ou à l’exécution de code.
Deux portes d’entrée sont décrites dans les avis :
- Ce que vous recevez : une requête envoyée à votre application avec un contenu compressé en Brotli.
- Ce que vous allez chercher : votre application télécharge une réponse compressée en Brotli auprès d’un serveur contrôlé par l’attaquant. En Node.js, une simple fonction fetch() suffit à déclencher le décodeur.
Les éditeurs ne donnent pas tous la même note. Node.js classe la faille « élevée », Microsoft lui donne 8,1 sur 10 pour .NET, et le Centre pour la cybersécurité comme le CERT/AQ la qualifient de critique. Ce qui compte : elle est exploitée, et les correctifs existent.
Où Brotli peut se cacher dans une PME (du plus visible au plus enfoui)
Portail client, API, outil de soumission en ligne, application Next.jsnode -v
Seulement si la décompression Brotli est activée ou utilisée dans le codedotnet –list-runtimes
Les scripts qui téléchargent des fichiers ou appellent des APIpwsh –version
Une image construite il y a six mois garde sa vieille versiondate de l’image
Envoy, Istio, Bun, paquets Brotli et brotlicffi, builds PHP Windowsdemander au fournisseur
Liste établie à partir de l’alerte du Centre canadien pour la cybersécurité et de l’avis du CERT/AQ. Elle n’est pas exhaustive : d’autres logiciels intègrent Brotli.
Les versions à installer
Node.js a publié ses correctifs le 21 octobre, la bibliothèque Brotli de Google a aussi été corrigée, et Microsoft a sorti une mise à jour d’urgence de .NET le dimanche 25 octobre. Le CERT/AQ ajoute PowerShell 7 et les builds de PHP pour Windows.
ℹ️ Bon à savoir pour .NET
Selon Microsoft, ASP.NET Core et HttpClient ne décompressent pas le Brotli dans leur configuration par défaut. Une application .NET est exposée si elle a activé cette décompression ou si elle utilise directement les fonctions Brotli. Microsoft recommande quand même d’installer la mise à jour. Après la mise à jour, redémarrez les applications et reconstruisez les images de conteneur.
Vérifier en 5 minutes
Pas besoin d’outil spécial pour un premier tri. Sur chaque serveur ou poste concerné, une commande donne la version installée. Notez-la dans la dernière colonne du tableau.
Par quoi commencer
Corriger d’abord ce que n’importe qui sur Internet peut atteindre. Le reste suit dans la semaine.
Aujourd’hui
- Mettre à jour les applications exposées à Internet (portail, API, site maison).
- Redémarrer les services après la mise à jour : l’ancien code reste en mémoire sinon.
- Impossible de corriger tout de suite? Bloquer les requêtes compressées en Brotli au proxy ou au pare-feu, ou désactiver la décompression Brotli.
Cette semaine
- Reconstruire et redéployer les images Docker touchées.
- Mettre à jour PowerShell 7 sur les postes d’administration.
- Vérifier les outils internes et les tâches automatisées qui téléchargent des fichiers.
À surveiller
- Demander aux fournisseurs de logiciels et d’équipements si leur produit intègre Brotli.
- Suivre les mises à jour des distributions Linux.
- Surveiller les arrêts inattendus d’applications, comme le recommande le Centre pour la cybersécurité.
🧭 Et mon site WordPress?
Les avis consultés ne citent PHP que dans ses versions pour Windows. La plupart des sites WordPress roulent sur des serveurs Linux, où PHP n’est pas listé pour cette faille. Demandez tout de même à votre hébergeur si son serveur Web et ses proxys utilisent une version de Brotli corrigée.
PHP a eu sa propre faille critique récemment : relisez notre article sur la mise à jour d’urgence de PHP si ce n’est pas réglé.
Ce genre de faille est difficile à suivre quand personne ne sait ce qui tourne sur chaque serveur. Notre service de gestion des serveurs tient cet inventaire à jour et applique les correctifs, nos services de cybersécurité vérifient les logiciels de vos fournisseurs, et notre surveillance automatisée 24/7 avec intervention du technicien de garde signale les plantages et les comportements anormaux sur les serveurs surveillés.
Réservez votre Bilan cyber gratuit
Vous ne savez pas si vos applications utilisent Node.js, .NET ou PowerShell, ni dans quelle version? Le Bilan cyber gratuit fait l’inventaire de ce qui roule chez vous et des correctifs en retard.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- Centre canadien pour la cybersécurité, alerte AL26-027 (28 octobre 2026)
- CERT/AQ, CERTQC-AVIS-2026-397 : Vulnérabilité critique dans Google Brotli (28 octobre 2026)
- Node.js, October 2026 Security Releases (21 octobre 2026) (en anglais)
- Microsoft, .NET October 2026 Out-of-Band Security Updates (25 octobre 2026) (en anglais)
- Microsoft, avis de sécurité CVE-2026-111497 pour .NET (GHSA-p3jp-9v83-76w9) (en anglais)
- BleepingComputer, Sergiu Gatlan (28 octobre 2026) (en anglais)
Photo : Stanislav Kondratiev, Pexels (licence Pexels).