Veille sécuritéBackend & données
P3Élevée
Un défaut de gestion des callbacks différés pendant la négociation TLS peut provoquer l’arrêt du serveur si la socket est détruite avant l’exécution d’un callback OpenSSL. Le problème concerne Node.js 24.x et 26.x lorsque des hooks TLS spécifiques ou server.addContext() sont utilisés.
Node.js
IdentifiantCVE-2026-126051
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-126051
Analyse technique
Les chemins concernés impliquent notamment SNICallback, OCSPRequest, newSession, resumeSession ou server.addContext(); le callback différé ne gère pas la destruction préalable de la socket.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-11 à 19:17:36.600Z, soit dans la période demandée (+02:00). La mise à jour ultérieure du 2026-11-12 est postérieure à la période et n’est pas retenue.
ImpactUn attaquant distant non authentifié peut provoquer un déni de service en faisant terminer le processus serveur.
Versions affectéesNode.js 24.x et 26.x
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-11-11T21:17:36.600+02:00
Action recommandée
Consulter l’avis officiel Node.js pour les versions corrigées et mettre à jour les installations concernées.
Sources
Priorisation DFS : P3 · 1 source(s).