Node.js : les trois fiches sont du 21, l'ardoise dit encore « will release »

Le comptoir a déjà posé trois plateaux. 26.12.1, 24.22.1, 22.23.4. Le mercredi 21 octobre 2026 est écrit sur chacun. Tu te retournes vers l'ardoise du fond, celle du même billet, et elle parle encore au futur : on va sortir ça mercredi, ou peu après. Les accompagnements ne sont pas les mêmes non plus. OpenSSL n'est annoncé que sur deux lignes. SQLite que sur une. Et un des dix numéros de dossier, collé sur la 26, n'est pas recopié dans les changements notables de la 26. Si tu signes le bon parce que le plateau est là, dis si tu as lu le plateau ou l'ardoise.

Le billet est signé The Node.js Project. Le haut dit que des mises à jour sont maintenant disponibles pour les lignes 26.x, 24.x et 22.x. Puis cinq dépendances, pas les mêmes lignes. c-ares sur 26, 24 et 22. ca-cert, avec entre parenthèses eMudhra Intermediate CA Compromise, sur 26, 24 et 22. OpenSSL sur 24.x et 22.x. Pas sur 26. SQLite sur 22.x. Pas sur les deux autres. Undici sur 26, 24 et 22. Aucune version n'est imprimée dans ces cinq puces.

Dix dossiers, et une phrase que je ne corrige pas

Dix intertitres suivent. Quatre high, trois medium, trois low.

CVE-2026-105482, high, dns.resolve tronque un nom qui contient un NUL. 26, 24 et 22. CVE-2026-105483, high, contournement de nom d'hôte TLS quand l'IP est écrite en chiffres pleine chasse. 26 et 24. Pas la 22. CVE-2026-106069, high, contournement quand l'hôte se résout « loosely » vers une IP. 26, 24 et 22. CVE-2026-111497, high. La phrase, je la recopie telle qu'elle est imprimée : A flaw in Node.js can cause Node.js Brotli decoder out-of-bounds write permits remote code execution. Je ne la répare pas. 26, 24 et 22.

CVE-2026-105481, medium, un socket keep-alive traite une réponse écrite avant l'envoi de la requête. 26, 24 et 22. CVE-2026-106072, medium, validation de certificat pour des noms IPv4 non canoniques. 26, 24 et 22. CVE-2026-106074, medium, les caches d'entropie de crypto.randomUUID() et randomInt() sont sauvés dans des instantanés de démarrage et des SEA, donc chaque processus répète les mêmes valeurs. 26, 24 et 22.

CVE-2026-106070, low, ZipFile rend des octets de préfixe contrôlés par l'attaquant après un échec de validation d'en-tête ZIP. 26 seulement. CVE-2026-106071, low, le modèle de permissions accorde trop large via une recherche radix à joker. 26 seulement. CVE-2026-106073, low, contournement du modèle de permissions avec fs.realpathSync. 26, 24 et 22.

Les remerciements impriment Thank you, to, avec une virgule. Pour le 105482, le 105483 et le 105481, le billet remercie Hasan Flayyih Abdullah d'avoir signalé, et jasnell d'avoir corrigé. Les fiches, elles, signent ces correctifs James M Snell. Je ne décide pas que le prénom et le pseudo sont la même personne. Je les laisse chacun sur sa feuille.

Le bas du billet donne trois téléchargements, dans cet ordre : v22.23.4, v24.22.1, v26.12.1. La 22 d'abord. Pas l'ordre des numéros majeurs.

L'ardoise, sous les plateaux, est encore au futur

Sous ces liens, un intertitre Summary. Le projet will release de nouvelles versions des lignes 26, 24 et 22 on or shortly after, Wednesday, October 21, 2026. La virgule est imprimée après shortly after. La sévérité la plus haute de cette sortie est HIGH. Trois puces répètent HIGH pour la 26, pour la 24 et pour la 22. Une phrase dit que les versions en fin de vie sont toujours touchées quand une sortie de sécurité a lieu. Puis Release timing : les sorties will be available on, or shortly after, le même mercredi. Le haut de la page a déjà donné les trois numéros. Le bas parle encore comme si la cuisine n'avait pas servi. Je ne barre pas le Summary pour faire propre.

Neuf numéros sur la fiche 26, huit sur la 24, sept sur la 22

Les trois fiches sont datées 2026-10-21 et signées Antoine du Hamel. Chacune commence par This is a security release.

La ligne de version de 26.12.1 dit (Current), @aduh95 prepared by @RafaelGSS. Pas de nom de code. J'y compte 9 numéros de CVE dans les changements notables. Il manque le 106071. Les commits de cette fiche ont une ligne src: fix the fs permission tree node on wildcard nodes, sans numéro de CVE. Je ne la déclare pas être le 106071. Le numéro est sur le billet. Il n'est pas dans les notables. La ligne de commit ne l'imprime pas.

La 24.22.1 s'appelle 'Krypton' (LTS). La ligne de version s'arrête à @aduh95. Pas de « prepared by ». J'y compte 8 numéros. Le 105483 y est, comme sur le billet. Le 106070 n'y est pas, comme sur le billet. Le 106071 n'y est pas non plus.

La 22.23.4 s'appelle 'Jod' (LTS). Même absence de « prepared by ». J'y compte 7 numéros. Pas de 105483, pas de 106070, pas de 106071. Le billet disait déjà que le 105483 s'arrête à la 24, et que le 106070 est la 26 seule. Sur ces deux-là, la fiche et le billet tombent ensemble. Le 106071 est le seul des dix que le billet attribue à une ligne et que la fiche notable de cette ligne n'imprime pas.

eMudhra n'est pas sur les fiches, NSS si, et Undici a trois numéros

Le mot eMudhra est sur le billet. Il n'est pas dans les changements notables des trois fiches. Les trois impriment, elles, crypto: update root certificates to NSS 3.131.1. Les commits de la 24 et de la 22 ont en plus une ligne NSS 3.129. La liste de commits de la 26 que j'ai lue n'a, pour les certificats racine, que le 3.131.1. Je ne déclare pas que NSS 3.131.1 est la puce eMudhra. Le billet ne dit pas NSS. Les fiches ne disent pas eMudhra.

c-ares 1.34.9 est notable sur les trois. Le billet disait c-ares, sans version. openssl-3.5.9 est notable sur la 24 et la 22, pas sur la 26. Ça rencontre la puce OpenSSL du billet, qui sautait la 26. SQLite n'est notable que sur la 22, en 3.53.4. Le billet disait SQLite sur la 22 seulement, sans version. Les commits de la 22 nomment aussi 3.53.3, 3.53.2, 3.53.1, 3.53.0, et un cherry-pick. La ligne notable ne dit que 3.53.4. Je ne fais pas disparaître les quatre autres numéros de la liste de commits.

Undici est la puce que le billet met sur les trois lignes, sans version. La 24 imprime undici 7.30.1 dans les notables. La 22 imprime undici 6.29.1 dans les notables. La 26 ne met pas Undici dans les notables. Elle le met dans les commits : undici 8.12.2. Trois numéros. Une seule puce sur le billet.

Le fuseau horaire 2026e est notable sur la 24 et la 22, pas sur la 26, et il n'est pas dans les cinq puces de dépendances du billet. Les commits de la 24 et de la 22 nomment aussi 2026d. Un rétroportage V8, 93cd21e8254b, est notable sur la 26, présent dans les commits de la 24, et je ne l'ai pas trouvé dans les titres de commits de la 22.

✍️ À toi : le papier que tu as ouvert en premier, le billet ou une des trois fiches, et si le Summary parlait encore au futur. Le 21 octobre est sur les quatre. Il n'y est pas au même temps.

Le 21 octobre 2026, le billet Node.js dit que 26.12.1, 24.22.1 et 22.23.4 sont disponibles, liste dix CVE, met OpenSSL sur 24 et 22, SQLite sur 22, et Undici sur les trois sans version. Plus bas, le Summary dit encore que les sorties auront lieu ce mercredi, ou peu après, et que le plus haut est HIGH, trois fois. Les notables comptent 9, 8 et 7 numéros. Le 106071 reste sur le billet. eMudhra reste sur le billet, NSS 3.131.1 est sur les trois fiches, et Undici s'écrit 8.12.2, 7.30.1 et 6.29.1. Les plateaux sont servis. L'ardoise n'a pas été essuyée.