CVE-2026-111497 on CyberVeille

🪲 Semaine 43 — CVE les plus discutées

Mon, 26 Oct 2026 19:39:30 +0000

Cette page présente les vulnérabilités les plus discutées sur les sources publiques (Fediverse, Bluesky, GitHub, blogs) sur la période analysée.

Période analysée : 2026-10-18 → 2026-10-25.

Les données sont collectées via Vulnerability-Lookup (CIRCL) et enrichies automatiquement afin d’aider à la priorisation de la veille et de la remédiation.

📌 Légende :

CVSS : score officiel de sévérité technique.
EPSS : probabilité d’exploitation observée.
VLAI : estimation de sévérité basée sur une analyse IA du contenu de la vulnérabilité.
CISA KEV : vulnérabilité activement exploitée selon la CISA.
seen / exploited : signaux observés dans les sources publiques.

CVE-2026-109618

CVSS: N/A EPSS: 99.98% VLAI: N/A

Produit

PHP Group — PHP

Publié

2026-10-21T13:48:34.845Z

PHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. Some contexts may not properly account for this scenario and leave request memory in an uninitialized state before performing an allocation. The subsequent request cleanup procedure may read or branch on this memory. Multiple OOM strategies can consistently trigger this condition and lead to remote code execution (RCE).

CVE-2026-111497 : faille critique Brotli (HTTP2Shell) affecte Node.js, Python, .NET, Java et plus

Mon, 26 Oct 2026 00:00:00 +0100

🔍 Contexte

Publié par Aikido Security le 26 octobre 2026, cet article détaille la vulnérabilité CVE-2026-111497, surnommée Node2Shell puis HTTP2Shell, découverte dans le décodeur Brotli de Google. La faille a été initialement divulguée par Node.js le 21 octobre 2026, avant de s’étendre à de nombreux autres écosystèmes.

🐛 Nature de la vulnérabilité

CVE-2026-111497 est une écriture hors limites (CWE-787) combinée à un retour de valeur non vérifié (CWE-252) dans la fonction DecodeBlockTypeAndLength() du décodeur Brotli. Elle affecte les versions 1.0.3 à 1.2.0 sur toutes les plateformes.

CVE-2026-111497 ' Brotlipocalypse ' : vulnérabilité critique dans le décodeur Brotli affecte des centaines de projets

Mon, 26 Oct 2026 00:00:00 +0100

📅 Source : OpenSourceMalware.com, publié le 24 octobre 2026. Cet article de recherche documente l’étendue de la vulnérabilité CVE-2026-111497, surnommée « Brotlipocalypse », découverte dans le décodeur de l’algorithme de compression Google Brotli.

🔍 Nature de la vulnérabilité

CVE-2026-111497 est un buffer overflow (écriture hors limites) dans le fichier c/dec/decode.c du décodeur Brotli, affectant les versions 1.0.3 à 1.2.0. Lorsqu’un flux demande un changement de type de bloc non autorisé, le décodeur répond « besoin de plus d’entrée » au lieu de signaler une erreur, ce qui provoque des écritures au-delà d’un buffer interne de 8 octets. La vulnérabilité est associée aux CWEs CWE-252 (Unchecked Return Value) et CWE-787 (Out-of-bounds Write), avec un score de sévérité 9.4 sur CVE v4. Elle a été divulguée par OpenAI Codex Security. Le commit de correction (0ed4268a) a été publié sur google/brotli le 27 février 2026, sans advisory, et est resté public pendant 8 mois avant d’être identifié comme correctif de sécurité.