Les pirates exploitent déjà la faille de Brotli, la compression qui accélère vos sites web

Le dimanche 25 octobre, Microsoft publie une mise à jour de .NET qu'il n'avait pas prévue. Parmi les quatre failles corrigées, une ne vient pas de chez lui : CVE-2026-111497, un défaut de Brotli, la bibliothèque de compression de Google qui permet aux sites web de transmettre leurs pages plus vite. Deux jours plus tard, le 27 octobre, l'agence américaine de cybersécurité (CISA) l'inscrit dans son catalogue des failles exploitées par des pirates.

Surnommée « Node2Shell » et d'abord repérée dans l'environnement JavaScript Node.js, la faille se trouve dans le décodeur de Brotli. Selon BleepingComputer, un attaquant sans aucun droit peut envoyer un flux compressé piégé qui fait planter le programme ou lui fait laisser fuir de la mémoire. Dans certains cas, il peut aussi exécuter du code à distance. La CISA ne dit rien des attaques observées : ni qui les mène, ni contre quelles cibles.

Bien plus que Node.js

Brotli est intégré à de nombreux logiciels : serveurs et clients web, bibliothèques Python, .NET. Nous avions expliqué comment la faille pouvait toucher vos applications Python et comment, dans Node.js, de simples données compressées pouvaient suffire. Avec l'exploitation confirmée, la question n'est plus de savoir si vous êtes théoriquement exposé, mais où se cachent les copies vulnérables de la bibliothèque.

Les agences fédérales civiles américaines ont jusqu'au 10 novembre pour corriger. La CISA demande à toutes les organisations de faire de même en priorité.

Les mises à jour à installer

• Node.js : versions 22.23.4, 24.22.1 ou 26.12.1, publiées le 21 octobre. Node.js 20, arrivé en fin de vie, ne reçoit pas de correctif.
• .NET : version 8.0.33, 9.0.22 ou 10.0.14 selon votre branche, publiée le 25 octobre. Microsoft demande de l'installer même si vous avez appliqué la mise à jour du 13 octobre.
• Brotli lui-même : versions 1.0.10, 1.1.1 ou 1.2.1 de la bibliothèque, pour les logiciels qui l'utilisent directement ou l'embarquent.

Si vous ne pouvez pas corriger aujourd'hui

Comme souvent avec une bibliothèque très répandue, le correctif ne suffit pas s'il n'atteint pas toutes les copies. Selon BleepingComputer, en attendant la mise à jour, on peut bloquer les requêtes entrantes compressées en Brotli au niveau du proxy ou du pare-feu, ou désactiver le décodage Brotli. Une fois le correctif installé, il faut redémarrer les processus concernés, puis reconstruire et redéployer les images de conteneurs qui embarquent une version vulnérable : mettre à jour la machine hôte ne suffit pas.

Reste à savoir ce que les attaquants font de cette faille. Tant que la CISA ou un éditeur ne publie pas de détails sur les attaques, impossible de dire si elle sert à voler des données, à installer des portes dérobées ou seulement à faire tomber des services.