NR26-11 : vulnérabilités de sécurité critiques de Node.js incluant l’exécution de code à distance (CVE-2026-111497 et al.)

Vulnerability Identifier: NR26-11

Priority: Haut

Résumé

Nous publions ce bulletin pour vous informer de vulnérabilités de sécurité critiques dans les versions de Node.js (22.x, 24.x, 26.x) qui peuvent nécessiter une action des clients pour les clients du monitoring synthétique de New Relic utilisant des sites publics et des sites privés.

Versions corrigées : les versions corrigées de Node.js sont 22.23.4, 24.22.1, et 26.12.1.

Versions en fin de vie (EOL) : Node.js 20 et versions antérieures, y compris Node.js 16.x, sont en fin de vie et ne recevront pas de correctifs du projet Node.js. La seule remédiation pour les versions en fin de vie de Node.js est la migration vers une sortie prise en charge.

Action requise

Ces vulnérabilités impactent les clients du monitoring synthétique utilisant à la fois des sites publics et des sites privés. L’action des clients pour chacune est la suivante.

emplacement public

L'action des clients dépend du fait que vos moniteurs sont sur le dernier runtime.

Aucune action requise : aucune action n’est requise pour les moniteurs ce qui est déployé dans les emplacements publics qui utilisent le dernier environnement d’exécution pris en charge.

Action requise : les clients dont les moniteurs ne sont pas sur le dernier environnement d’exécution doivent les mettre à jour, conformément à la communication précédente de New Relic. Si votre moniteur d’API scripté est sur un ancien environnement d’exécution Node.js, vous devez le mettre à jour dès que possible. Pour obtenir des instructions, consultez Mettre à niveau les moniteurs d’API scriptés vers Node.js 22.

site privé

Action requise : pour les sites privés, vous devez récupérer les dernières images d’exécution pour remédier à ces CVE. Une action est requise pour les outils pour les moniteurs déployés dans des sites privés si vous n’utilisez pas le tag latest.

Le gestionnaire de tâches de New Relic Synthetics (SJM) en lui-même n'est pas la source des vulnérabilités. Cependant, les images de conteneur node-api-runtime et node-browser-runtime intègrent Node.js et sont directement affectées.

Si vous utilisez des sites privés, suivez les étapes suivantes :

1. Récupérez les dernières versions des images d’exécution concernées :

   bash

   Copier

   $
   # Node API runtime
   $
   docker pull newrelic/synthetics-node-api-runtime:latest
   $
   
   $
   # Node browser runtime
   $
   docker pull newrelic/synthetics-node-browser-runtime:latest

2. Redémarrez vos conteneurs après avoir téléchargé les images mises à jour pour appliquer le correctif.

Pour plus d’informations, consultez le guide de transition du runtime.

Avis important : moniteurs d'API scriptées Node.js 16.x

Si vous avez des scripts pour les moniteurs d'API configurés pour s’exécuter sur Node.js 16.x, veuillez noter que :

• Node.js 16.x ne recevra pas de correctif de sécurité pour ces CVE de la part du projet Node.js, car il a déjà atteint sa fin de vie.
• New Relic n’a pas forcé la mise à niveau automatique des éléments pour les moniteurs avec Node.js 16.x vers Node 22.x, car la compatibilité des scripts ne peut être garantie. Certains scripts de moniteurs peuvent nécessiter des modifications de code pour s’exécuter correctement sur Node 22.x.

Nous vous recommandons vivement d’examiner et de migrer vos processus pour les moniteurs sous Node 16.x vers Node 22.23.4 dès que possible, et de ne pas attendre le 18 novembre 2026. Pour des instructions de migration détaillées, consultez Mettre à niveau les scripts pour les moniteurs d'API vers Node.js 22.

Informations sur les vulnérabilités techniques

Dix CVE ont été divulguées dans les versions de Node.js (22.x, 24.x, 26.x), dont quatre sont classées comme étant de gravité élevée.

CVE de gravité élevée :

• CVE-2026-111497
• CVE-2026-106069
• CVE-2026-105483
• CVE-2026-105482

Autres CVE :

• CVE-2026-105481
• CVE-2026-106072
• CVE-2026-106074
• CVE-2026-106070
• CVE-2026-106071
• CVE-2026-106073

Questions fréquemment posées

1. Dois-je mettre à jour le gestionnaire de tâches Synthetics (SJM) ?

   Non. Ces vulnérabilités se trouvent dans le runtime Node.js intégré dans les images de conteneur du runtime, et non dans SJM lui-même. Seules les images de conteneur du runtime nécessitent une mise à jour.

2. La mise à jour des images d’exécution affectera-t-elle mes outils pour les moniteurs en cours d’exécution ?

   Les moniteurs continuent de s’exécuter normalement après la mise à jour de l’image d’exécution. Il n’y a aucun changement de comportement pour les outils pour les moniteurs s’exécutant sur Node 22.x.

3. La CVE-2026-111497 peut-elle être exploitée à distance ?

   Oui. Il s’agit d’une vulnérabilité d’exécution de code à distance. Elle peut être déclenchée lorsqu’un processus Node.js reçoit une réponse HTTP compressée avec Brotli provenant d’un serveur contrôlé par un attaquant. Aucun accès local n’est requis.

4. J’exécute des processus pour les moniteurs sous Node 16.x. Suis-je exposé à un risque ?

   Oui. Node 16.x est en fin de vie, et ne sera pas patché. Vos moniteurs restent vulnérables, jusqu’à ce que vous les migriez vers Node 22.23.4. Vous pouvez le faire vous-même en utilisant l’outil de mise à niveau du runtime. Pour plus d’informations, consultez Gérer les runtimes de moniteurs.

5. Pourquoi mon moniteur Node 16.x n’a-t-il pas été mis à niveau automatiquement ?

   Node 22.x inclut des changements majeurs par rapport à Node 16.x, ce que New Relic a communiqué précédemment. Les outils pour les moniteurs d’API scriptée toujours sur Node 16.x sont ceux qui n’ont pas pu être mis à niveau automatiquement sans échouer. New Relic en a donc fait une mise à niveau initiée par les clients pour éviter une interruption involontaire des moniteurs. Nous suivrons les délais de fin de vie communiqués précédemment et mettrons à niveau de force les moniteurs sur Node 16.x le 18 novembre 2026.

6. Faut-il redémarrer ou relancer quoi que ce soit après la mise à jour des environnements d’exécution de site privé ?

   Seul un redémarrage du conteneur est requis. Aucun redémarrage de l’hôte n’est nécessaire.

7. Qui puis-je contacter si j’ai encore des questions ?

   Ouvrez un ticket auprès de notre équipe de support via la section d’aide de la plateforme New Relic.

Historique de la publication

21 octobre 2026 - CVE Node.js divulguées

27 octobre 2026 - NR26-11 publié