Failles PHP et Node.js du 21 octobre : patcher vite avec Coolify, Docker et l’IA

Mercredi 21 octobre 2026, deux des runtimes les plus répandus du web ont publié des correctifs de sécurité le même jour : PHP et Node.js.

Côté PHP, deux failles critiques peuvent permettre, selon l’équipe PHP, une exécution de code à distance sans authentification. Côté Node.js, dix vulnérabilités sont corrigées, dont une écriture hors limites dans le décodeur Brotli qui peut mener à de l’exécution de code.

Si vos sites, vos applications ou vos outils internes tournent sur l’un de ces deux runtimes, la vraie question n’est pas de comprendre chaque CVE. C’est de savoir en combien de temps vous pouvez remplacer la version qui tourne par la version corrigée.

Ce qu’il faut installer aujourd’hui

La règle est simple : rester sur la même branche et passer à la dernière version corrigée, sauf si vous aviez déjà prévu de monter de branche.

PHP : deux failles critiques, surnommées « PHP2Shell »

Les deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619, sont notées 9,2 en CVSS v4.0. Elles touchent le moteur PHP lui-même, dans la gestion de la mémoire et des erreurs, c’est-à-dire dans du code que presque toutes les requêtes traversent.

• CVE-2026-109618 : quand une requête atteint la limite memory_limit au mauvais moment, PHP laisse des données partiellement initialisées, puis les traite comme valides. Résultat : une corruption mémoire.
• CVE-2026-109619 : après une erreur fatale, un état interne peut continuer à pointer vers la mémoire d’une requête précédente. La requête suivante traitée par le même worker s’en sert (use-after-free).

Qui est exposé ?

Le cas le plus sévère est Apache avec mod_php : d’après la PHP Foundation, une requête non authentifiée peut déclencher la première faille avant même l’exécution du code de l’application, avec la configuration par défaut. Avec PHP-FPM, l’exploitation dépend du comportement de l’application, mais le correctif est à appliquer dans tous les cas. Qualys liste aussi php-cgi, FrankenPHP et LiteSpeed parmi les environnements à risque.

Point important : le correctif est dans PHP, pas dans votre CMS ni dans votre framework. Mettre à jour WordPress, PrestaShop ou Laravel ne remplace pas la mise à jour du runtime.

Un calendrier qui laisse peu de marge

Les identifiants CVE ont fuité le 20 octobre, la veille de la publication. L’équipe PHP a avancé la date de sortie. Qualys rapporte des tentatives d’exploitation observées dès le 21 octobre, notamment par Amazon Threat Intelligence et Cloudflare, alors que l’équipe PHP indiquait n’avoir identifié aucun exploit fonctionnel au moment de la publication. Les deux constats ne se contredisent pas : le délai entre divulgation et exploitation est très court.

Node.js : dix vulnérabilités, une à traiter en priorité

Les versions 26.12.1, 24.22.1 et 22.23.4 corrigent dix vulnérabilités : quatre de gravité haute, trois moyennes, trois basses. Aucune n’est classée critique par Node.js. Certains médias parlent de failles critiques, mais l’avis officiel retient « haute » comme niveau maximal.

La priorité : CVE-2026-111497. Une écriture hors limites dans le décodeur Brotli, qui peut permettre une exécution de code à distance, sur les trois lignes. L’avis ne détaille pas les conditions d’exploitation. En l’absence de précision, je traite tout service qui décompresse du Brotli venant d’une source externe comme exposé.

Les contournements TLS : CVE-2026-105483 et CVE-2026-106069. Deux failles de gravité haute sur la vérification du nom d’hôte du certificat, lorsque l’hôte est exprimé sous une forme d’adresse IP inhabituelle (chiffres pleine chasse, adresse reconnue de façon approximative). La première concerne les lignes 26 et 24, la seconde les trois lignes. Concrètement, un client Node qui se connecte à une API pourrait accepter un certificat qui ne devrait pas l’être pour cet hôte.

Le reste. La troisième faille haute (CVE-2026-105482) fait tronquer les noms contenant un caractère NUL par dns.resolve. Les failles moyennes et basses touchent les sockets keep-alive, la validation de certificats pour des IPv4 non canoniques, l’entropie de crypto.randomUUID() dans les snapshots de démarrage, le Permission Model et la lecture de fichiers ZIP. La version publiée met aussi à jour c-ares, Undici et les certificats racine, ainsi qu’OpenSSL sur les lignes 24 et 22 et SQLite sur la ligne 22.

L’avis officiel ne mentionne ni exploitation en cours ni contournement possible : la mise à jour est la réponse.

Pourquoi un VPS avec Coolify et Docker change le temps de réaction

Sur un serveur monté à la main, la version de PHP ou de Node est un état de la machine. La modifier suppose de se connecter, de mettre à jour des paquets, de redémarrer des services, et de le faire pour tous les sites qui partagent le serveur.

Avec Docker, la version est une décision écrite dans le dépôt. Avec Coolify, le dépôt déclenche la construction et le déploiement.

Un exemple concret : un commit sur ce site

Ce matin, la correction côté Node.js de ce site a tenu en un commit. Dans le Dockerfile, la ligne de base des trois étapes de build change :

J’épingle volontairement une version exacte plutôt qu’un tag flottant comme node:24-slim. Avec un tag flottant, on a l’impression d’être à jour sans savoir quelle version tourne vraiment. Avec une version exacte, l’état de la production se lit dans Git, et le changement est un commit que l’on peut relire, tester et annuler.

La méthode, étape par étape

Deux limites à connaître. Le Rollback de Coolify redéploie une image, il ne revient pas sur les migrations de base de données ni sur les données persistantes. Et le nombre d’images conservées dépend du réglage « Images to keep » : vérifiez-le avant d’en avoir besoin.

Les services installés en un clic

Un outil comme n8n, installé comme service Coolify, embarque son propre runtime. Le correctif arrive avec une nouvelle image publiée par l’éditeur, et rien ne garantit qu’elle soit déjà disponible. Coolify propose « Pull Latest Images & Restart », mais sa documentation rappelle de lire les notes de version, de sauvegarder les composants avec état et de vérifier la compatibilité avant de l’utiliser en production.

Où l’IA fait gagner du temps, et où elle ne décide pas

Face à un avis de sécurité, la partie lente est rarement le changement lui-même. C’est tout ce qui l’entoure : lire l’avis, savoir ce qui est concerné, préparer les modifications sur plusieurs projets, vérifier que rien ne casse.

Un assistant de code aide sur quatre points :

• Lire et traduire l’avis pour votre contexte : quelles branches, quels runtimes, quelles conditions d’exposition ;
• Faire l’inventaire en cherchant dans tous vos dépôts les FROM php:, FROM node:, les fichiers Compose et les versions imposées dans package.json ;
• Préparer le changement : modifier les tags, lancer le build et les tests en local, ouvrir la pull request ;
• Documenter : message au client, entrée dans le journal de maintenance.

L’IA accélère l’inventaire et la préparation. La décision de déployer, elle, reste humaine.

Les erreurs à éviter

Ce que je vérifierais aujourd’hui

Questions fréquentes

Conclusion

Les failles PHP et Node.js du 21 octobre rappellent une évidence : le risque ne vient pas seulement de la vulnérabilité, mais du temps qui s’écoule avant qu’elle soit corrigée chez vous.

Un VPS avec Docker et Coolify ne rend pas le travail inutile. Il le rend court, traçable et réversible : une version écrite dans Git, un déploiement automatisé, un retour arrière possible. L’IA accélère l’inventaire et la préparation, à condition qu’une personne vérifie et décide.

Si vous ne savez pas précisément quelles applications tournent chez vous, sur quelle version et qui les met à jour, c’est le premier sujet à traiter. Un audit permet de le cartographier et de définir une routine de mise à jour adaptée à votre taille.

Sources

• Node.js, avis de sécurité du 21 octobre 2026
• PHP Foundation, « Today’s PHP Security Release »
• Qualys, « PHP2Shell »
• Infosecurity Magazine, fuite des identifiants CVE PHP
• Coolify, opérations sur les applications
• Coolify, Rollback
• Coolify, déploiements automatiques
• Coolify, mise à jour d’un service