Une faille critique dans Brotli, l’algorithme de compression conçu par Google, touche désormais aussi les applications .NET : Microsoft a publié ses correctifs quatre jours après ceux de Node.js. Référencée CVE-2026-111497, elle permet à un attaquant d’envoyer des données compressées piégées pour faire planter un serveur, lire sa mémoire, voire y exécuter du code. Voici qui est concerné et quelles versions installer.
Une seule erreur, beaucoup de logiciels touchés
Brotli sert à réduire la taille des données échangées sur le Web. Le défaut se trouve dans son décodeur : une entrée compressée volontairement malformée provoque une écriture en dehors de la zone mémoire prévue. Selon l’analyse publiée le 24 octobre par l’éditeur de sécurité Strobes, les versions 1.0.3 à 1.2.0 de la bibliothèque de Google sont vulnérables, et la fiche CVE classe la faille à 9,2 sur 10 (critique) selon la norme CVSS 4.0.
Le problème vient de la bibliothèque elle-même, pas d’un logiciel précis. C’est pourquoi la liste des produits exposés s’allonge : Node.js et Bun côté JavaScript, plusieurs paquets Python, la commande curl lorsqu’elle décode des réponses compressées, et enfin .NET. Strobes signale aussi que certains projets embarquant leur propre copie de Brotli n’étaient toujours pas corrigés au 24 octobre.
Ce que Microsoft a corrigé côté .NET
D’après Clubic, qui détaille le correctif le 27 octobre, les équipes de Node.js et de Brotli ont colmaté la brèche le 21 octobre, et Microsoft a suivi quatre jours plus tard. Les versions à installer sont :
- .NET 8.0.33 ;
- .NET 9.0.22 ;
- .NET 10.0.14 ;
- la troisième version candidate (RC3) de .NET 11.
Bonne nouvelle pour les parcs anciens : le .NET Framework historique n’est pas concerné, précise Clubic. Autre nuance importante, une application .NET n’est exposée que si elle décompresse des données venant d’un tiers non fiable : décompression des requêtes dans ASP.NET Core, décompression automatique des réponses dans HttpClient, ou appel direct aux fonctions Brotli. Ces options sont désactivées par défaut, il faut donc les avoir activées pour être vulnérable.
Clubic rapporte par ailleurs que des chercheurs d’Imperva ont exploité cette même faille le 22 octobre sur une version vulnérable de Node.js, en envoyant des données Brotli malformées à une application de test, qui a créé sur le serveur un fichier non prévu par son code. Le média ne signale en revanche aucune attaque réelle visant des applications .NET.
Node.js, Python, curl : les autres versions à viser
Si votre infrastructure ne repose pas sur .NET, vous n’êtes pas forcément à l’abri. Strobes, éditeur de sécurité et non autorité officielle, recense les versions corrigées suivantes, à recouper avec les avis de chaque projet :
- Node.js 22.23.4, 24.22.1 et 26.12.1 (les branches 20, 23 et 25, en fin de vie, ne recevront rien) ;
- Bun 1.4.4 ;
- les paquets Python Brotli 1.2.1 et brotlicffi 1.2.1.0 ;
- la bibliothèque Brotli elle-même en 1.0.10, 1.1.1 ou 1.2.1.
Pour curl, tout dépend de la version de libbrotli fournie par votre distribution Linux : c’est son suivi de sécurité qu’il faut consulter. Côté Node.js, Strobes souligne qu’une application Express 5 utilisant body-parser 2.x décode par défaut les corps de requête compressés en Brotli : un simple appel à express.json() suffit à ouvrir la porte. Les appels sortants avec fetch() sont aussi exposés, puisque les réponses Brotli y sont décompressées automatiquement.
Comment se protéger concrètement
La priorité reste la mise à jour. Mais installer le paquet ne suffit pas toujours : un ancien décodeur reste chargé en mémoire tant que le processus tourne. Les gestes recommandés, surtout détaillés par Strobes, sont les suivants :
- redémarrer toutes les applications concernées après la mise à jour ;
- recompiler et redéployer les applications .NET qui embarquent leur propre environnement d’exécution, ainsi que les images de conteneurs, puis vérifier la version réellement présente dans le conteneur en production ;
- mettre à jour les fichiers de verrouillage de dépendances pour éviter qu’un prochain build ne réinstalle une version vulnérable ;
- en attendant le correctif, désactiver la décompression Brotli pour les données de source non fiable, ou rejeter les requêtes portant l’en-tête Content-Encoding: br au niveau du proxy ou du pare-feu applicatif.
Strobes met en garde contre une fausse bonne idée : retirer Brotli de l’en-tête Accept-Encoding ne protège pas, car un serveur malveillant peut quand même renvoyer une réponse compressée de cette façon. Enfin, pour les boîtiers et logiciels tiers, la seule option est d’interroger le fournisseur pour savoir s’il embarque une copie vulnérable.
Ce qu’il faut retenir pour une PME
Pour une petite structure qui fait développer son site ou son application par un prestataire, la bonne démarche consiste à lui demander noir sur blanc si le projet utilise Node.js, .NET ou Python, si Brotli y est actif, et à quelle date les correctifs ont été appliqués. L’exposition réelle dépend fortement de la configuration, ce qui rend l’inventaire plus utile que la panique. Mais avec un score critique et une démonstration d’exploitation déjà publiée, attendre la prochaine maintenance programmée serait un pari risqué.
Questions fréquentes
Mon site sous WordPress est-il concerné par cette faille Brotli ?
WordPress repose sur PHP, qui n’est pas cité parmi les composants touchés. En revanche, le serveur peut héberger d’autres outils (curl, scripts Node.js ou Python) concernés : demandez à votre hébergeur s’il a mis à jour ses paquets Brotli.
Faut-il mettre à jour le .NET Framework de Windows ?
Non pour cette faille : selon Clubic, l’ancien .NET Framework n’est pas affecté. Seules les versions modernes 8, 9, 10 et la préversion 11 doivent passer aux numéros corrigés.
Désactiver la compression Brotli ralentit-il mon site ?
Couper la décompression des données entrantes n’empêche pas votre serveur de compresser ses propres pages pour les visiteurs. Il s’agit d’une mesure transitoire, à lever une fois les correctifs installés et les services redémarrés.
Sources
- Microsoft corrige en urgence une faille critique menaçant les applications .NET — Clubic, 2026-10-27
- HTTP2Shell (CVE-2026-111497): The Brotli RCE Hitting Node.js, Python and More — Strobes, 2026-10-24