Au cas où vous l’auriez raté, la semaine a été spectaculairement mauvaise pour les runtimes de langages de programmation.
En l’espace de quelques jours, on a eu :
PHP : deux vulnérabilités critiques d’exécution de code à distance, toutes deux notées 9.2 selon CVSS v4.0, qui ont nécessité des mises à jour de sécurité d’urgence le 21 octobre. Un autre avis a suivi le 23 octobre concernant la gestion des sessions.
Ruby : quatre CVE liées à GitLab impliquant une corruption de mémoire dans le moteur d’expressions régulières de Ruby, dont des vulnérabilités de double-free et de dépassement d’entier. Dans certaines conditions, des regex malveillantes pourraient mener à une exécution de code à distance. Urgence.
Les mises à jour Ruby ont suivi le 23 octobre.
Node.js : plusieurs vulnérabilités de sécurité, dont une écriture mémoire hors limites dans la décompression Brotli, des problèmes de validation de certificats TLS et des contournements du modèle de permissions. Les mises à jour de sécurité sont tombées le 21 octobre.
Go : des mises à jour de sécurité traitant plusieurs vulnérabilités, dont celles suivies sous CVE-2026-111943, CVE-2026-78667, CVE-2026-78669 et CVE-2026-97031. Les packages Go mis à jour ont été publiés le 21 octobre.
Java : la Critical Patch Update d’Oracle du 20 octobre comprenait 55 nouveaux patchs de sécurité pour Java SE, Oracle signalant que 49 traitaient des vulnérabilités potentiellement exploitables à distance sans authentification.
Et ça, c’est juste le résumé.
Honnêtement, elles ne sont pas toutes exploitables au même point, et toutes ne sont pas des vulnérabilités dans les implémentations des langages elles-mêmes.
Mais il se passe un truc intéressant ici.
Beaucoup de ces problèmes ne concernent pas le typage dynamique, ni même les langages en soi. Mais plutôt la gestion de la mémoire, les dépendances natives, les entrailles complexes du runtime et des décennies de compromis d’implémentation accumulés.
La bonne nouvelle, c’est qu’on devient meilleurs pour les trouver.
Je soupçonne que la découverte de vulnérabilités assistée par IA va rendre les prochaines années inconfortables pour les mainteneurs d’écosystèmes logiciels matures, parce que l’économie de la recherche de bugs évolue bien plus vite que celle de leur correction.
Ça va être intéressant, les prochaines années.
En attendant, continuez de cliquer sur vos boutons de mise à jour.