Faille critique dans le composant Brotli : Microsoft publie des correctifs d'urgence pour .NET, Node.js et Python sont aussi touchés

Le 25 octobre, Microsoft a publié hors de son calendrier mensuel des mises à jour de sécurité de .NET (une brique logicielle de Microsoft sur laquelle tournent de nombreux sites et applications métier développés sur mesure) pour corriger la faille CVE-2026-111497, jugée critique, logée dans Brotli, un composant de compression de données conçu par Google et très répandu pour accélérer les échanges sur le web. Un flux compressé piégé, par exemple la réponse d’un site consulté par l’application ou une requête envoyée à un serveur, peut faire écrire le programme hors de sa mémoire, jusqu’à l’exécution de code à distance ; les versions corrigées sont .NET 8.0.33, 9.0.22, 10.0.14 et 11 RC3, et Microsoft précise que la décompression des requêtes et des réponses n’est pas activée par défaut dans .NET, ce qui limite l’exposition aux applications où un développeur l’a enclenchée. Le même défaut, surnommé « HTTP2Shell » ou « Node2Shell », touche selon BleepingComputer Node.js (corrigé dans les versions 22.23.4, 24.22.1 et 26.12.1) et des bibliothèques Python courantes ; des codes de démonstration d’attaque circulent déjà, sans exploitation malveillante confirmée à ce jour, et mettre à jour la bibliothèque du système ne suffit pas quand une application embarque sa propre copie de Brotli. Contrairement à PHP2Shell, que nous suivons depuis le 22 octobre et qui visait les sites sous PHP, cette faille concerne surtout les applications développées sur mesure, les automatisations et les services en ligne de vos prestataires. Ce que cela change pour vous : demandez par écrit à votre prestataire ou à votre éditeur si vos outils reposent sur .NET, Node.js ou Python, si les versions corrigées sont déployées et les services redémarrés, et, dans l’attente, que la décompression Brotli soit désactivée ou que les requêtes compressées en Brotli soient bloquées au niveau du pare-feu.