Des chercheurs en cybersécurité ont démontré qu’une vulnérabilité du décodeur Brotli intégré à Node.js peut permettre l’exécution de code à distance à partir de données compressées spécialement conçues. Référencée CVE-2026-111497 et surnommée Node2Shell, cette faille touche plusieurs versions de Node.js, notamment lorsque des applications décompressent des requêtes ou des réponses HTTP non fiables. Une démonstration publiée par Imperva a confirmé l’exécution de code sur une version officielle vulnérable de Node.js. Des correctifs sont disponibles : les équipes techniques doivent mettre à jour le runtime, reconstruire leurs conteneurs et vérifier les bibliothèques Brotli embarquées dans leurs autres logiciels.

Oracle a publié le 21 octobre 2026 une mise à jour de sécurité d’urgence pour corriger CVE-2026-91403, une vulnérabilité affectant la validation des certificats numériques dans Java SE et GraalVM. Notée 9,1 sur l’échelle CVSS 3.1, cette faille est liée à des certificats intermédiaires eMudhra considérés comme insuffisamment sûrs. Elle pourrait permettre à un attaquant de se faire passer pour un serveur légitime et d’intercepter ou de modifier des données. Oracle recommande d’installer les versions corrigées ou d’appliquer ses mesures d’atténuation officielles.

Palo Alto Networks a confirmé que deux vulnérabilités critiques liées à PHP affectent plusieurs versions de PAN-OS ainsi que certains services cloud. Si aucune exploitation malveillante de ses produits n’est signalée par l’entreprise au 24 octobre 2026, les failles présentent un risque important, notamment lorsque les interfaces d’administration sont accessibles depuis Internet. En attendant la publication des correctifs prévus, les administrateurs doivent restreindre l’accès aux interfaces de gestion, appliquer les protections disponibles et suivre les avis de sécurité officiels.