La publication d'un avis de sécurité par Node.js le 21 octobre 2026 a mis en lumière une menace d'une ampleur systémique : la vulnérabilité CVE-2026-111497, surnommée Broccoli2shell. Ce défaut de sécurité affectant la bibliothèque de compression Brotli permet à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance (RCE).
La gravité de cette faille réside dans la dépendance massive de l'écosystème logiciel envers Brotli. En tant que bibliothèque de compression libre, elle est intégrée au cœur de nombreuses solutions critiques. Selon le CERT-FR, la menace s'étend à des éditeurs majeurs tels que Microsoft, Palo Alto Networks, Cisco, VMware, Splunk et Mitel, ainsi qu'à des environnements de développement comme Python et Node.js.
Cette situation crée un risque d'effet domino sur les infrastructures numériques. Puisque la faille permet une exécution de code sans nécessiter d'accès préalable (non authentifiée), elle offre une porte d'entrée directe sur des serveurs et des équipements réseaux largement déployés. L'impact potentiel ne se limite pas à un logiciel unique, mais touche l'intégrité même des systèmes qui utilisent ces mécanismes de compression pour traiter les données.
La résolution de cet incident repose désormais sur une action fragmentée. La gestion de la menace dépend de la réactivité de chaque éditeur pour déployer ses propres correctifs spécifiques. Le CERT-FR souligne que l'application des mises à jour doit être priorisée en fonction des risques identifiés sur chaque système d'information, invitant les administrateurs à se référer directement aux avis des éditeurs concernés.