Après PHP, une autre brique essentielle du web doit être mise à jour d’urgence

Après les failles critiques découvertes dans PHP, c’est au tour de Node.js de publier des correctifs de sécurité en urgence. Dix vulnérabilités ont été corrigées, dont quatre graves, avec notamment un risque d’exécution de code à distance. Les administrateurs sont invités à mettre à jour leurs serveurs sans attendre.

C’est la panique sur Internet depuis ce 21 octobre 2026. La raison : deux failles critiques ont été repérées dans le langage informatique PHP, utilisé par des centaines de millions de sites web à travers le monde. La situation se révèle être un vrai casse-tête pour l’Internet mondial, étant donné qu’il est souvent difficile de repérer le langage PHP, omniprésent, mais souvent invisible. En attendant les correctifs, certains sites ont tout simplement décidé de suspendre leur accès, craignant des cyberattaques. C’est notamment le cas d’Orange qui, après avoir connu une panne majeure, a annoncé la suspension temporaire de certains de ses sites et applications par mesure de sécurité. Et la situation ne semble pas vraiment s’arranger pour l’Internet mondial, étant donné que le projet Node.js vient de publier en urgence une série de correctifs de sécurité. 

Node.js corrige 10 failles de sécurité, dont quatre critiques

Node.js est un environnement d’exécution qui permet de faire fonctionner du JavaScript en dehors d’un navigateur web, notamment sur des serveurs. Node.js est bien moins répandu que le langage PHP, mais il occupe tout de même une certaine place dans l’Internet mondial. Selon les données de W3Techs du 9 septembre 2026, Node.js est utilisé comme serveur web par 7 % des sites dont le serveur est identifié. Cette proportion atteint toutefois 22 % parmi les 1 000 sites les plus fréquentés. Les risques de perturbation du web mondial sont donc réels en cas de cyberattaque. 

Justement, le projet Node.js vient de publier trois mises à jour de sécurité qui corrigent dix failles, dont quatre sont classées de gravité élevée. L’une de ces quatre failles permet l’exécution de code à distance sur un serveur vulnérable. À l’heure où nous écrivons ces lignes, aucune exploitation de ces failles dans le cadre d’attaques n’a été signalée.

Node.js recommande aux administrateurs de mettre à jour leurs serveurs sans attendre

Les trois correctifs de sécurité publiés par Node.js sont les suivants : Node.js 22.x (version 22.23.4), Node.js 24.x (version 24.22.1) et Node.js 26.x (version 26.12.1). Il faut donc bien s’assurer que la version correspondant à sa branche est installée.

Pour les applications exécutées dans des conteneurs, une simple mise à jour de la machine ne suffit pas. Il est également nécessaire de reconstruire les images utilisées, puis de redémarrer les services concernés. Par ailleurs, les versions de Node.js arrivées en fin de vie, comme Node.js 20, ne bénéficient plus de correctifs de sécurité. Elles restent exposées aux vulnérabilités découvertes.