Les applications exécutant Bun >= 1.0.21, < 1.4.4 sont touchées par une vulnérabilité d'écriture en mémoire dans le décodeur Brotli de Google intégré à Bun. La solution proposée par Bun consiste à installer 1.4.4 et à recompiler les exécutables produits avec bun build --compile : ces binaires embarquent leur propre runtime, de sorte que la mise à jour de la version de Bun installée ne suffit pas à les corriger.
La faille, CVE-2026-111497, a également suscité des tentatives d'exploitation signalées. Dans son rapport du 28 octobre, Security Affairs indique que Previdian avait relevé une tentative d'ici au 27 octobre, et que les chercheurs d'ELLIO avaient observé du trafic contenant un exploit public capable d'exécuter du code sur les systèmes vulnérables. L'ampleur de cette activité reste incertaine, et les observations ne démontrent pas que des attaquants ont réussi à exploiter Bun.
Quand Bun atteint le décodeur vulnérable
L'avis de Bun publié le 23 octobre identifie une écriture hors limites dans la bibliothèque Brotli : le décodage de données compressées contrôlées par un attaquant peut provoquer des écritures en dehors du tampon mémoire prévu. Il liste Brotli de 1.0.3 à 1.2.0 inclus comme affectées, avec deux exceptions : les versions corrigées 1.0.10 et 1.1.1. Bun 1.4.3 embarque Brotli 1.2.0 ; Bun 1.4.4 passe à la version corrigée 1.2.1.
Une application n'a pas besoin de proposer un service de décompression de données malveillantes pour atteindre la bibliothèque. Par défaut, le fetch de Bun envoie Accept-Encoding: gzip, deflate, br, zstd, puis décode automatiquement les réponses portant Content-Encoding: br. Un serveur malveillant contacté par l'application peut ainsi alimenter le décodeur. Une personne placée sur le chemin réseau peut aussi le faire lorsque la connexion n'est pas chiffrée.
Les applications peuvent atteindre le même décodeur via node:zlib, notamment brotliDecompress, brotliDecompressSync et createBrotliDecompress, ou via DecompressionStream avec le format brotli. La condition préalable est que des données Brotli fournies par un attaquant atteignent une interface concernée.
Bun attribue l'évaluation d'exécution de code à distance au projet Brotli. Les mainteneurs de Brotli indiquent n'avoir pas testé d'attaque contre Bun et ne peuvent pas établir si l'impact correspond à celui constaté dans d'autres logiciels. Ils recommandent néanmoins de traiter la vulnérabilité comme un risque d'exécution de code à distance. L'avis la classe comme élevée ; cette évaluation de gravité est distincte de toute preuve d'exploitation.
Pour les déploiements en attente de mise à niveau, Bun décrit des mesures limitées plutôt qu'un contournement global au niveau du processus. Sur une requête fetch particulière, decompress: false supprime Accept-Encoding: br et désactive la décompression des réponses. Les autres appels ne sont pas concernés par ce paramètre. L'avis demande aussi aux applications de tenir les données non fiables à l'écart des interfaces Brotli de node:zlib et de DecompressionStream. Avec le décodeur mis à jour, des données invalides produisent BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH.
Un rapport sur le catalogue fédéral à nuancer
Security Affairs rapporte également que la CISA avait ajouté CVE-2026-111497 et CVE-2026-48356, une vulnérabilité de téléversement de fichiers non restreint dans Adobe Commerce et Magento connue sous le nom de PolyShell, à son catalogue Known Exploited Vulnerabilities (KEV). Le rapport indique le 29 octobre 2026 comme échéance fédérale de remédiation.
L'alerte de la CISA du 26 octobre annonce d'autres entrées : CVE-2026-109618, concernant une corruption de mémoire dans PHP, et CVE-2026-109619, concernant un état interne obsolète d'une requête PHP. Cette annonce ne confirme pas les ajouts signalés pour Brotli ou Adobe, ni l'échéance du 29 octobre. La CISA cite la Binding Operational Directive 26-04, qui s'applique aux agences civiles du pouvoir exécutif fédéral, et encourage les autres organisations à prioriser la remédiation selon le risque.
Concernant PolyShell, Security Affairs a relayé la découverte de Sansec selon laquelle des attaques avaient infecté au moins 953 boutiques en ligne. Le mécanisme signalé impliquait un bloc CMS Magento contenant un chargeur malveillant capable de récupérer et d'exécuter une charge utile hébergée par l'attaquant. Les chercheurs n'avaient pas récupéré cette charge utile ultérieure, ce qui laisse incertain le but final de la campagne. Le rapport décrit l'activité comme étant en cours et dont on pense qu'elle remonte à juillet 2025 au moins.
