Retour à la tendance du jour: PHP corrige une faille de ses outils web Windows permettant d'exécuter du code
Classement Poly · tiré de la tendance du jour

Algorithme de compression des données : Top 10 des codecs web 2026

Zstandard décompresse 3,6 fois plus vite que Brotli (1 550 contre 425 Mo/s) pour un écart de taux de 0,4 %, et en octobre 2026, c'est le décodeur de Brotli qui a livré une écriture distante hors limites notée 9,8.

  • N° 1 : Zstandard (zstd)
  • 10 places

01Liste finale

Les IA de pointe ont chacune dressé leur propre liste de dix, de façon indépendante. Voici un résultat facile à vérifier : chaque place a une raison, une source et la liste des IA qui l'ont retenue.

Ordre : du plus grand au plus faible accord entre les IA.

Une pastille vive signifie que cette IA a mis l'élément dans sa liste. Une pastille terne, qu'elle ne l'a pas fait.

  1. 1

    Zstandard (zstd)

    Décode à 1 550 Mo/s contre 425 pour Brotli, avec un taux presque identique (2,896 contre 2,883). Ses rares CVE touchent l'outil en ligne de commande, pas le décodeur. Sur les ressources web, Brotli reste en tête, 3,08 contre 2,86.

    L’ont inclus: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. Ne l’ont pas inclus: ChatGPT, Wenxin.

    Dans leurs listes: Meta: voir la liste · Grok: voir la liste · Gemini: voir la liste · Nova: 1 · StepFun: voir la liste · Kimi: voir la liste · DeepSeek: voir la liste · Qwen: voir la liste

    Ce qu'a noté chaque IA 8
    • Meta

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Grok

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Gemini

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Novaplace 1

      Décompresse à 200-400 MB/s avec un taux de compression de 2,5-3,5x, mais son défaut de validation de flux de 2026 a accru les risques de déni de service.

      Source ↗
    • StepFun

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Kimi

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • DeepSeek

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Qwen

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    8 IA l’ont placé ici
  2. 2

    gzip / DEFLATE (zlib)

    Compresse encore 60 % du JavaScript web, contre 29 % pour Brotli. Il décode à 390 Mo/s avec un taux de 2,743, et son décodeur zlib porte 19 CVE, dont CVE-2022-37434 notée 9,8.

    L’ont inclus: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. Ne l’ont pas inclus: ChatGPT, Wenxin.

    Dans leurs listes: Meta: 2 · Grok: 2 · Gemini: 2 · Nova: 3 · StepFun: 2 · Kimi: 2 · DeepSeek: 2 · Qwen: 1

    Ce qu'a noté chaque IA 8
    • Metaplace 2

      82 % des sites servent gzip via zlib – dans PHP, le gzip de Python, zlib de Node, Zlib de Ruby, dans toutes les versions de Nginx – CVE-2022-37434, dépassement de tas via un champ d'en-tête gzip étendu volumineux

    • Grokplace 2

      Lié dans presque tous les environnements d'exécution de langages et serveurs web ; quelques dépassements de tas critiques (dont en 2022 et 2026) apparaissent encore malgré des décennies d'audit.

    • Geminiplace 2

      Lié silencieusement aux environnements d'exécution Node.js, Python et PHP, laissant 47,1 % des réponses des serveurs HTTP dépendre d'un modèle mémoire vieux de 30 ans.

    • Novaplace 3

      Le compresseur original du web, qui traite encore 80 % du trafic HTTP avec un taux de 1,5-2x, mais il est grevé par d'anciennes failles de zlib.

      Source ↗
    • StepFunplace 2

      19 CVE, et un dépassement de tas dans inflate() qui est resté dans le chemin gzip HTTP par défaut jusqu'à la 1.2.12.

    • Kimiplace 2

      Intégrée à PHP, Node, Python et curl – et même liée à l'intérieur d'OpenSSL ; son pire bogue inflate() a obtenu un score de 9,8.

    • DeepSeekplace 2

      19 CVE depuis 2002, 9 avec des exploits publics, et un dépassement de tas CVSS 9,8 dans inflate – le décompresseur derrière gzip, PNG et d'innombrables piles HTTP.

    • Qwenplace 1

      Le poumon invisible d'Internet, qui compresse 90 % du trafic web tout en laissant discrètement passer des CVE de corruption mémoire tous les quelques ans.

      Source ↗
    8 IA l’ont placé ici
  3. 3

    LZ4

    Le décodeur le plus rapide, à 3 850 Mo/s, mais avec un taux de seulement 2,101, ce qui signifie des charges utiles plus volumineuses que zstd. Certaines IA affirmaient zéro CVE, pourtant CVE-2021-3520 est un vrai dépassement d'entier qui corrompt la mémoire.

    L’ont inclus: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. Ne l’ont pas inclus: ChatGPT, Wenxin.

    Dans leurs listes: Meta: voir la liste · Grok: voir la liste · Gemini: voir la liste · Nova: 4 · StepFun: voir la liste · Kimi: voir la liste · DeepSeek: voir la liste · Qwen: voir la liste

    Ce qu'a noté chaque IA 8
    • Meta

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Grok

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Gemini

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Novaplace 4

      Décompresseur le plus rapide, à plus de 500 MB/s, mais avec un taux de seulement 1,5-2x ; sa simplicité évite les vulnérabilités complexes vues dans Brotli/Zstd.

      Source ↗
    • StepFun

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Kimi

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • DeepSeek

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Qwen

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    8 IA l’ont placé ici
  4. 4

    Brotli

    Le plus serré sur le texte web : 3,08:1 contre 2,56 pour gzip sur les ressources de Cloudflare, et 19 % plus petit au niveau 11. Le prix : CVE-2026-111497, une écriture hors limites notée 9,8 sur les versions 1.0.3 à 1.2.0.

    L’ont inclus: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. Ne l’ont pas inclus: ChatGPT, Wenxin.

    Dans leurs listes: Meta: 7 · Grok: 5 · Gemini: 9 · Nova: 2 · StepFun: 7 · Kimi: 9 · DeepSeek: voir la liste · Qwen: voir la liste

    Ce qu'a noté chaque IA 8
    • Metaplace 7

      Décodeur C embarqué dans zlib de Node, Bun, brotli de Python, les versions Windows de PHP 8.2-8.5 – CVE-2026-111497, exécution de code à distance Node2Shell/HTTP2Shell dans tous les écosystèmes

      Source ↗
    • Grokplace 5

      La bibliothèque qui a forcé des reconstructions d'urgence de PHP pour Windows le 26 octobre 2026 ; une écriture hors limites critique dans le décodeur a touché Node, Python, .NET et PHP.

      Source ↗
    • Geminiplace 9

      Intégré nativement dans PHP et Node.js pour le décodage rapide de flux, où une écriture hors limites d'octobre 2026 a imposé des reconstructions binaires urgentes sur plusieurs versions.

      Source ↗
    • Novaplace 2

      Compresseur de Google à taux de 4 à 5x, utilisé dans PHP 8.2+, mais CVE-2026-111497 a fait de la décompression un vecteur d'exécution de code à distance.

    • StepFunplace 7

      L'entrée la plus récente de cette liste, et la seule à avoir eu un bogue d'exécution de code à distance dans un décodeur embarqué à la fois dans Node.js, Bun, PHP et Python.

    • Kimiplace 9

      La bibliothèque la plus jeune de la liste, et déjà une exécution de code à distance non authentifiée en service – exactement le schéma de « décompression d'entrée » de l'histoire du contexte.

    • DeepSeek

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Qwen

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    8 IA l’ont placé ici
  5. 5

    Snappy

    Décode à 1 500 Mo/s avec un taux de 2,089 et ne fait aucun codage de Huffman. Sa CVE connue (CVE-2023-43642) se trouve dans l'enveloppe snappy-java, pas dans le cœur C++.

    L’ont inclus: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. Ne l’ont pas inclus: ChatGPT, Nova.

    Dans leurs listes: Meta: voir la liste · Grok: voir la liste · Gemini: voir la liste · StepFun: voir la liste · Kimi: voir la liste · DeepSeek: voir la liste · Wenxin: voir la liste · Qwen: voir la liste

    Ce qu'a noté chaque IA 8
    • Meta

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Grok

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Gemini

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • StepFun

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Kimi

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • DeepSeek

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Wenxin

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Qwen

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    8 IA l’ont placé ici
  6. 6

    XZ / LZMA

    Le taux le plus élevé ici (3,43 dans un test SquashFS du noyau), mais avec un décodage de seulement 35 Mo/s. Sa pire CVE, CVE-2024-3094 notée 10,0, était une porte dérobée insérée volontairement, pas un bug d'analyse.

    L’ont inclus: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. Ne l’ont pas inclus: ChatGPT, Nova.

    Dans leurs listes: Meta: voir la liste · Grok: voir la liste · Gemini: voir la liste · StepFun: voir la liste · Kimi: voir la liste · DeepSeek: voir la liste · Wenxin: voir la liste · Qwen: voir la liste

    Ce qu'a noté chaque IA 8
    • Meta

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Grok

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Gemini

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • StepFun

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Kimi

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • DeepSeek

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Wenxin

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Qwen

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    8 IA l’ont placé ici
  7. 7

    bzip2

    Décode à 34–90 Mo/s selon le test, trop lent pour le HTTP en direct. Son écriture hors limites de 2019 (CVE-2019-12900) est notée 9,8 par le NVD mais 4,4 chez Red Hat.

    L’ont inclus: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. Ne l’ont pas inclus: ChatGPT, Nova.

    Dans leurs listes: Meta: voir la liste · Grok: voir la liste · Gemini: voir la liste · StepFun: voir la liste · Kimi: voir la liste · DeepSeek: voir la liste · Wenxin: voir la liste · Qwen: voir la liste

    Ce qu'a noté chaque IA 8
    • Meta

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Grok

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Gemini

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • StepFun

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Kimi

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • DeepSeek

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Wenxin

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Qwen

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    8 IA l’ont placé ici
  8. 8

    LZO

    Conçu pour le décodage en temps réel : 217 Mo/s et un taux de 2,64 dans un test SquashFS, avec 780 Mo/s annoncés ailleurs. Son dépassement d'entier de 2014 (CVE-2014-4607) a montré à quel point l'ancien code C rapide vieillit mal.

    L’ont inclus: Meta, Grok, Gemini, StepFun, DeepSeek. Ne l’ont pas inclus: ChatGPT, Nova, Kimi, Wenxin, Qwen.

    Dans leurs listes: Meta: voir la liste · Grok: voir la liste · Gemini: voir la liste · StepFun: voir la liste · DeepSeek: voir la liste

    Ce qu'a noté chaque IA 5
    • Meta

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Grok

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Gemini

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • StepFun

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • DeepSeek

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    5 IA l’ont placé ici
  9. 9

    Zopfli

    Rend la sortie DEFLATE plus petite de 3 à 8 % pour un temps de compression environ 81 à 100 fois plus long. Elle n'ajoute aucune surface d'attaque au décodage, car tout client gzip peut lire sa sortie.

    L’ont inclus: StepFun, Kimi, Qwen. Ne l’ont pas inclus: ChatGPT, Meta, Grok, Gemini, Nova, DeepSeek, Wenxin.

    Dans leurs listes: StepFun: voir la liste · Kimi: voir la liste · Qwen: voir la liste

    Ce qu'a noté chaque IA 3
    • StepFun

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Kimi

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Qwen

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    3 IA l’ont placé ici
  10. 10

    LZW (Unix compress)

    Le codeur par dictionnaire des années 1980 derrière Unix compress et le GIF. Son brevet a expiré le 20 juin 2003, et les navigateurs ne l'ont jamais décodé nativement : il n'apporte donc aucun gain réseau aujourd'hui.

    L’ont inclus: Meta, Kimi. Ne l’ont pas inclus: ChatGPT, Grok, Gemini, Nova, StepFun, DeepSeek, Wenxin, Qwen.

    Dans leurs listes: Meta: voir la liste · Kimi: voir la liste

    Ce qu'a noté chaque IA 2
    • Meta

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    • Kimi

      Nommé autrement dans sa propre liste : ouvrez la liste complète.

      voir la liste
    2 IA l’ont placé ici

Plus sur le trio de tête ↓

02Plus sur le trio de tête

Le classement est ci-dessus. Voici plus sur les trois premières places : ce qu'elles sont, pourquoi elles sont là et ce qu'il faut savoir.

Les trois sont classés selon un mélange de taux de compression, de vitesse de décompression et de bugs du décodeur : la vitesse seule ne fixe pas l'ordre, car LZ4 décompresse le plus vite mais arrive troisième. La vitesse et le taux viennent du même test Silesia, alors que les parts d'usage sur le web (60% contre 29%) mesurent autre chose

1Zstandard (zstd)

N° 1 — Zstandard (zstd). Dans les listes de 8 IA sur 10 ; place médiane : 1. Décompresse environ 3,6 fois plus vite que Brotli, avec un taux presque identique, et ses rares bugs se trouvent hors du décodeur.

Le saviez-vous ?

  • En 2018, Canonical a testé zstd au niveau 19 sur des paquets Ubuntu .deb. La décompression était bien plus rapide qu'avec xz, mais les paquets étaient environ 6% plus gros. Arch Linux a ensuite annoncé que son passage à zstd avait rendu la décompression 14 fois plus rapide, avec une hausse de taille de 0,8%.

Ce que c'est
Un outil de compression rapide publié par Facebook (Meta) en 2016.
Son atout
Décompresse 3,6 fois plus vite que Brotli, avec un taux presque identique.
Pour qui
Convient aux serveurs qui veulent de la vitesse et de petits fichiers ; moins adapté là où les navigateurs ou les CDN n'ont pas encore la prise en charge.
  • Vitesse de décompression et tauxDécompression à 1 550 Mo/s, taux 2,896

Wikipédia · Wikidata

Pourquoi il est là
  • Dans le test officiel lzbench sur le corpus Silesia, zstd 1.5.7 décompresse les données à 1 550 Mo/s. Brotli 1.1.0 atteint 425 Mo/s et zlib 390 Mo/s. Cela fait environ 3,6 fois plus vite que Brotli.

  • Le même tableau donne à zstd le meilleur taux : 2,896. Brotli est à 2,883, zlib à 2,743, LZ4 à 2,101 et Snappy à 2,089. Il compresse à 510 Mo/s, contre 290 pour Brotli et 105 pour zlib.

Le saviez-vous ?
  • Zstandard peut descendre sous le niveau 1. Ses niveaux vont de −7, le plus rapide, à 22, le plus puissant mais le plus lent à compresser. Ainsi, un seul outil couvre à la fois la compression légère et rapide et la compression très poussée.

Histoire
  • En 2016, Facebook (aujourd'hui Meta) a publié Zstandard 1.0 sous licence BSD. Il a été conçu pour être plus rapide que Deflate, la méthode derrière zip et gzip, qui offrait depuis deux décennies un bon équilibre entre vitesse et taille.

À garder en tête
  • Pour les fichiers enregistrés une fois et servis de nombreuses fois, Brotli au niveau 11 produisait encore les fichiers les plus petits dans un test. Zstd au niveau 19 compressait cependant environ quatre fois plus vite.

  • La prise en charge par les navigateurs est plus récente. Chrome a ajouté zstd dans la version 123 (2024). Dans la discussion Chromium, le moteur de Firefox (Gecko) ne donnait encore aucun signe, et de nombreux CDN ont tardé à suivre.

Ce que disent les gens
  • Brotli appears to outperform zStandard in both compression ratio and compression time up until level 9 for this response. — Paul Calvano

Pour aller plus loin
  • Ouvrez le README et allez à son titre Benchmarks. Comparez les lignes de zstd avec celles de Brotli, zlib et LZ4, et regardez la vitesse de décompression de zstd à côté de son taux de compression.

Comparer le trio de tête ↓

2gzip / DEFLATE (zlib)

N° 2 — gzip / DEFLATE (zlib). Dans les listes de 8 IA sur 10 ; place médiane : 2. Compresse toujours la plupart des JavaScript du web et fonctionne partout, mais c'est le plus lent des trois à décompresser, et il a un bug critique dans son décodeur.

Le saviez-vous ?

  • Mark Adler a écrit le code de décompression de zlib avec Jean-loup Gailly, qui a écrit celui de la compression. Adler a aussi travaillé sur la mission Mars Exploration Rover de la NASA, en dirigeant une étude sur le concept qui a été retenu plus tard pour la mission de 2003.

Ce que c'est
La méthode gzip classique, intégrée à presque tous les langages et serveurs web.
Son atout
La plus utilisée : elle compresse 60% du JavaScript du web, Brotli seulement 29%.
Pour qui
Convient aux systèmes anciens qui doivent fonctionner partout ; mauvais choix pour la vitesse ou les petits fichiers.
  • Vitesse de décompression et tauxDécompression à 390 Mo/s, taux 2,743

Wikipédia · Wikidata

Pourquoi il est là
  • zlib 1.3.1 est le plus lent et le plus faible des trois dans le test officiel Silesia. Il décompresse à 390 Mo/s, contre 1 550 pour zstd. Il compresse à 105 Mo/s, avec un taux de 2,743.

  • Le décodeur de zlib (inflate) a une faille grave, CVE-2022-37434, dans zlib jusqu'à la version 1.2.12. Un champ d'en-tête gzip de grande taille peut provoquer un dépassement de tampon. Elle est notée 9,8 (critique), et seuls les programmes qui appellent inflateGetHeader sont touchés.

Histoire
  • La première version publique de zlib, la 0.9, est sortie le 1er mai 1995. Elle était à l'origine destinée à la bibliothèque d'images libpng, et Jean-loup Gailly et Mark Adler l'ont écrite.

Qwen l'ont mis premier. Ce qu'elles y ont vu
  • Qwen: Le poumon invisible d'Internet, qui compresse 90 % du trafic web tout en laissant discrètement passer des CVE de corruption mémoire tous les quelques ans.

Comparer le trio de tête ↓

3LZ4

N° 3 — LZ4. Dans les listes de 8 IA sur 10 ; place médiane : 4. Le décodeur le plus rapide de loin, mais son faible taux implique des fichiers plus gros, et il a un vrai bug dans son décodeur.

Le saviez-vous ?

  • LZ4 est intégré au noyau Linux depuis la version 3.11. FreeBSD, Illumos, ZFS on Linux et ZFS-OSX l'utilisent aussi pour la compression à la volée dans leurs systèmes de fichiers ZFS.

Ce que c'est
Un compresseur très simple, conçu pour la vitesse et publié en 2011.
Son atout
Décompresse à 3 850 Mo/s, environ 2,5 fois plus vite que zstd.
Pour qui
Convient aux tâches où la vitesse compte plus que la taille ; pas pour envoyer des fichiers sur le web.
  • Vitesse de décompression et tauxDécompression à 3 850 Mo/s, taux 2,101

Wikipédia · Wikidata

Pourquoi il est là
  • LZ4 1.10.0 décompresse à 3 850 Mo/s, le plus rapide du test officiel Silesia. Cela fait environ 2,5 fois les 1 550 Mo/s de zstd. Le prix : un taux de 2,101, contre 2,896 pour zstd, donc des fichiers plus gros.

  • LZ4 a bien une faille dans son décodeur, CVE-2021-3520. Un fichier spécialement conçu peut provoquer un dépassement d'entier et une écriture hors limites. NVD la note 9,8, tandis que Red Hat la note 8,6.

    Source ↗ ✓ confirmé par plusieurs IA
Le saviez-vous ?
  • LZ4 n'a pas d'étape de codage entropique, contrairement à DEFLATE, qui utilise le codage de Huffman. Chaque bloc de données commence par un jeton d'un octet. Il est découpé en deux moitiés de 4 bits : l'une pour le nombre de littéraux, l'autre pour la longueur de correspondance.

Histoire
  • En 2011, Yann Collet a publié LZ4 une semaine ou deux seulement après que Google a publié en open source Snappy, un compresseur rapide similaire. LZ4 a ensuite dépassé Snappy en vitesse.

Ce que disent les gens
  • I could only see an `acceleration` value to tune in the `lz4.h` file, which would allow me to make LZ4 even faster — ahf

Pour aller plus loin
  • Ouvrez le README à son titre Benchmarks. Regardez comment LZ4 décompresse le plus vite, puis examinez son taux de compression. Ce taux plus faible est le compromis : des fichiers plus lourds à envoyer sur le web.

Comparer le trio de tête ↓

Le trio de tête côte à côte

Zstandard (zstd)gzip / DEFLATE (zlib)LZ4
Dans les listes des IA8 / 108 / 108 / 10
Vitesse de décompression et tauxDécompression à 1 550 Mo/s, taux 2,896Décompression à 390 Mo/s, taux 2,743Décompression à 3 850 Mo/s, taux 2,101
Premier pourNovaQwen—

À nombre d'IA égal, les places sont classées selon leur place moyenne dans les listes des IA.

03Bon à savoir

Ce que les IA ont remarqué en établissant la liste.

L'écart de taux entre zstd et Brotli dépend du corpus : 0,4 % sur Silesia (2,896 contre 2,883), mais 7 % sur les ressources web de Cloudflare (2,86 contre 3,08), où le dictionnaire web intégré de Brotli aide.

Remarqué par:
L’ont inclus: Meta, Grok, StepFun, DeepSeek. Ne l’ont pas inclus: ChatGPT, Gemini, Nova, Kimi, Wenxin, Qwen.
Source ↗

En passant du niveau 1 au niveau 11 de Brotli, le taux monte de 2,53 à 3,88 sur enwik8, tandis que la vitesse de compression tombe de 111,72 Mo/s à 0,35 Mo/s.

Remarqué par:
L’ont inclus: ChatGPT. Ne l’ont pas inclus: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Wenxin, Qwen.
Source ↗

CVE-2026-111497 a touché chaque version de Brotli de 1.0.3 à 1.2.0, sur toutes les plateformes. Elle a atteint les environnements d'exécution via les copies embarquées dans les paquets Node.js, Bun, PHP et Python.

Remarqué par:
L’ont inclus: Meta, Grok, StepFun, Kimi. Ne l’ont pas inclus: ChatGPT, Gemini, Nova, DeepSeek, Wenxin, Qwen.
Source ↗

Les chiffres en Mo/s diffèrent d'un test à l'autre : le tableau zstd donne 1 550 contre 425 Mo/s pour zstd contre Brotli, tandis que le responsable de zstd relève environ 700 contre 500 Mo/s sur des pages web.

Remarqué par:
L’ont inclus: Meta, StepFun, DeepSeek. Ne l’ont pas inclus: ChatGPT, Grok, Gemini, Nova, Kimi, Wenxin, Qwen.
Source ↗

04Les questions que l’on se pose

Qu'est-ce qu'un algorithme de compression ?

Une méthode qui stocke les données sur moins de bits en supprimant la redondance. Les codecs sans perte comme zstd réduisent le corpus de test Silesia avec un taux de 2,896 et le restaurent à l'identique.

Source ↗
Comment fonctionnent les algorithmes de compression ?

Ils remplacent les chaînes répétées par des références arrière (LZ77), puis codent le résultat par Huffman ou FSE. Brotli utilise aussi un dictionnaire intégré d'environ 120 Ko de fragments web courants.

Quel est l'algorithme de compression le plus puissant ?

Pour le taux, LZMA/xz et Brotli aux réglages maximums. Brotli au niveau 11 atteint 3,88:1 sur enwik8, mais ne compresse qu'à 0,35 Mo/s.

Pourquoi les comparatifs de compression ne concordent-ils pas ?

Les résultats varient selon le corpus, le niveau et la machine. Le même couple zstd contre Brotli mesure 1 550 contre 425 Mo/s dans un test, et environ 700 contre 500 Mo/s dans un autre.

Source ↗

05Notre méthode

En mots simples, sans formules.

1La question

Top 10 des algorithmes de compression web par efficacité réseau et surface d'attaque mémoire

2Champ d'application

normes web et ingénierie des protocoles réseau à l'échelle mondiale

3Ce que nous avons regardé

  • Vitesse de décompression et réduction de la charge transférée sur les charges utiles HTTP brutes
  • Complexité de l'analyse structurelle et densité historique des failles dans les décodeurs C de référence
  • Test de référence officiel de Zstandard (lzbench, corpus Silesia, i7-9700K) — taux de compression et vitesses de compression et de décompression en Mo/s pour zstd, Brotli, zlib, LZ4 et Snappy
  • Test des ressources web de Cloudflare (via OpenReplay) — taux de compression moyen sur de vraies ressources web : gzip 2,56, zstd 2,86, Brotli 3,08
  • HTTP Archive Web Almanac 2024 — quel codec compresse réellement les réponses web explorées
  • National Institute of Standards and Technology, NVD / OpenCVE — CVE de corruption de mémoire et de déni de service dans le décodeur C de référence de chaque codec

4Qui a classé

Les IA de pointe : ChatGPT, Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Wenxin, Qwen. Chacune a établi seule sa liste de dix et cité une source pour chaque place.

5Comment les places ont été fixées

Un même élément formulé différemment par différentes IA a été compté une seule fois. Plus les IA sont nombreuses à l'avoir mis dans leur liste, et plus elles l'ont placé haut, plus sa place est élevée. « Accord des IA » indique combien d'IA l'avaient dans leur propre liste. Les sources sont uniquement celles trouvées par les IA ; rien n'a été ajouté à la main.

06La liste de chaque IA

🇺🇸 ChatGPT10 places · 3 notes

La même question, à laquelle ChatGPT a répondu seul. La liste finale ci-dessus combine toutes les IA.

  1. 1
    Brotli (br)

    Le gagnant orienté web a une note inconfortable : un seul flux malformé a exposé un défaut de décodeur noté CVSS 3.1 9,8.

  2. 2
    Zstandard (zstd)

    Une alternative moderne et rapide peut décoder à près de 479 MiB/s dans un test de corpus publié, bien que ce ne soit pas une garantie propre à HTTP.

  3. 3
    Gzip / DEFLATE

    Le champion de la compatibilité reste convaincant : dans un benchmark de texte, gzip -6 et zstd 3 ont produit la même sortie de 1,48 Mo, mais zstd a fini la compression plus vite.

  4. 4
    LZ4

    Dans un test sur corpus mixte, LZ4 a décodé à 742,106 MiB/s, ce qui illustre l'attrait de la vitesse lorsque les économies de bande passante sont secondaires.

    Source ↗
  5. 5
    Snappy

    Snappy privilégie la vitesse de décompression et l'intégration simple plutôt que de grappiller chaque octet d'une charge utile.

    Source ↗
  6. 6
    Deflate (flux DEFLATE brut)

    Retirer l'enveloppe gzip ne change pas le codage DEFLATE sous-jacent, mais modifie le contrat de format et les attentes d'interopérabilité.

  7. 7
    LZMA / XZ

    Le taux peut être excellent, mais un test publié sur le texte a pris 1 771 ms pour compresser 10,07 Mo avec xz -6.

  8. 8
    bzip2

    Son approche par tri de blocs peut réduire la taille par rapport à gzip sur certains corpus, mais le décodeur est beaucoup plus lent que les codecs rapides modernes dans le test cité.

  9. 9
    LZHAM

    Sa présence dans les comparaisons de codecs à grande échelle en fait une bonne référence pour la forte compression, mais ce n'est pas un choix par défaut de codage de contenu HTTP.

    Source ↗
  10. 10
    LZHAM / modes de forte compression de la famille LZMA

    À l'extrême, un taux supplémentaire coûte souvent beaucoup plus de temps et de mémoire à l'encodeur, ce qui en fait un mauvais choix par défaut pour les réponses web sensibles à la latence.

    Source ↗

Ce que ChatGPT a remarqué

Zstandard et LZ4 peuvent être attrayants lorsque le coût processeur compte : le test sur corpus mixte cité indique 478,733 MiB/s de décompression pour zstd et 742,106 MiB/s pour LZ4, LZ4 donnant un moins bon taux de compression dans ce test.

L'incident Brotli d'octobre 2026 rappelle que le taux de compression de l'encodeur ne dit rien de la capacité du décodeur à rejeter en toute sécurité une entrée malformée.

Le risque d'un algorithme de décompression ne se réduit pas au nombre de CVE : un seul bogue de décodeur à la racine peut toucher de nombreux paquets de langages, alors que les problèmes de déni de service et de corruption de mémoire ont des conséquences différentes.

🇺🇸 Meta10 places

La même question, à laquelle Meta a répondu seul. La liste finale ci-dessus combine toutes les IA.

  1. 1
    OpenSSL (libssl, libcrypto)

    Intégré à Node.js, Python, PHP 8.x, .NET 8/9/10 – 69,3 % du web PHP tourne encore dessus, 14 vulnérabilités corrigées en septembre 2026, dont CVE-2026-84782, CVSS 8,2, fuite de tas DTLS

  2. 2
    zlib (libz)

    82 % des sites servent gzip via zlib – dans PHP, le gzip de Python, zlib de Node, Zlib de Ruby, dans toutes les versions de Nginx – CVE-2022-37434, dépassement de tas via un champ d'en-tête gzip étendu volumineux

  3. 3
    libcurl

    Alimente la décompression automatique de PHP cURL avec CURLOPT_ENCODING, qui a déclenché la RCE Brotli ; Guzzle définit "" par défaut – 33 CVE dans un scan de SBOM, 6 critiques selon un audit

    Source ↗
  4. 4
    libxml2

    Analyseur XML dans PHP DOM, lxml de Python, .NET – 17 vulnérabilités dans la 2.9.10 selon cvedetails, 4 dénis de service dans Ubuntu USN-7974-1 : CVE-2025-8732, CVE-2026-0989/0990/0992

  5. 5
    PCRE / PCRE2 (libpcre)

    Moteur d'expressions régulières derrière preg_ de PHP, re de Python, Nginx – CVE-2007-1660, dépassement de tampon via plusieurs formes de classes de caractères, CVE-2008-2371, dépassement de tas dans pcre_compile

  6. 6
    SQLite (libsqlite3)

    Base de données embarquée dans PDO de PHP, sqlite3 de Python, sqlite de Node – CVE-2026-51297, utilisation après libération lors de l'analyse JSON menant à une exécution de code à distance, CVE-2019-5018, CVSS 8,1, à distance via du SQL forgé

  7. 7
    Brotli (libbrotlidec / libbrotlienc)

    Décodeur C embarqué dans zlib de Node, Bun, brotli de Python, les versions Windows de PHP 8.2-8.5 – CVE-2026-111497, exécution de code à distance Node2Shell/HTTP2Shell dans tous les écosystèmes

    Source ↗
  8. 8
    libpng

    Décodeur PNG dans GD de PHP, Pillow de Python, System.Drawing de .NET – 5 CVE du lot d'octobre 2025 : CVE-2025-64505/64506/64720/65018/66293, dépassement de tas

    Source ↗
  9. 9
    libjpeg-turbo

    Codec JPEG dans GD de PHP, Pillow de Python, sharp de Node – CVE-2018-20330, dépassement d'entier avec dépassement de tas dans tjLoadImage via pitchheight BMP

  10. 10
    Expat (libexpat)

    Analyseur XML dans xml.parsers.expat de Python, xml2js de Node, XML de PHP – CVE-2022-40674, utilisation après libération de tas, CVE-2023-52426 et autres ; il alimente les flux RSS/Atom

🇺🇸 Grok10 places · 1 notes

La même question, à laquelle Grok a répondu seul. La liste finale ci-dessus combine toutes les IA.

  1. 1
    OpenSSL

    Le cheval de trait cryptographique derrière presque toutes les connexions HTTPS ; plus de 110 CVE suivies, avec un flot régulier de problèmes mémoire graves, même en 2026.

  2. 2
    zlib

    Lié dans presque tous les environnements d'exécution de langages et serveurs web ; quelques dépassements de tas critiques (dont en 2022 et 2026) apparaissent encore malgré des décennies d'audit.

  3. 3
    libcurl

    La bibliothèque cliente HTTP intégrée dans PHP, Python, de nombreux modules Node et d'innombrables backends ; flux continu de CVE de sécurité mémoire, dont certaines de gravité élevée en 2026.

  4. 4
    libxml2

    Cœur d'analyse XML pour PHP, Python, de nombreuses piles Java et Ruby ; source persistante d'utilisations après libération et de problèmes de tampon, qui obtiennent régulièrement un score CVSS de 7 à 9.

  5. 5
    Brotli (libbrotli)

    La bibliothèque qui a forcé des reconstructions d'urgence de PHP pour Windows le 26 octobre 2026 ; une écriture hors limites critique dans le décodeur a touché Node, Python, .NET et PHP.

    Source ↗
  6. 6
    libpng

    Décodeur d'images universel encore requis par presque tous les environnements web qui servent ou traitent des PNG ; l'historique de dépassements de tampon continue, à un rythme plus faible que les analyseurs ci-dessus.

    Source ↗
  7. 7
    SQLite

    Intégrée à presque tous les environnements de langage et à de nombreux frameworks web ; les problèmes de sécurité mémoire y sont plus rares que dans les analyseurs réseau, mais ils surviennent et ont un fort impact quand c'est le cas.

  8. 8
    libjpeg / libjpeg-turbo

    Chemin de décodage JPEG présent dans presque toutes les piles web de traitement d'images ; des dépassements critiques réguliers la maintiennent sur la liste de surveillance.

  9. 9
    Expat (libexpat)

    Analyseur XML léger encore utilisé par de nombreuses piles en C et extensions de langages ; surface plus réduite que libxml2, mais pas à l'abri de la corruption de mémoire.

  10. 10
    PCRE / PCRE2

    Moteur d'expressions régulières intégré à PHP, Nginx et de nombreux environnements d'exécution ; la logique de correspondance complexe a produit plusieurs problèmes mémoire de gravité élevée au fil des ans.

Ce que Grok a remarqué

OpenSSL, zlib et libcurl figurent toujours parmi les trois composants logiciels les plus déployés au monde ; leur historique cumulé de CVE montre que le code C orienté performance reste le risque résiduel dominant, même au sein des écosystèmes de langages « sûrs pour la mémoire ».

🇺🇸 Gemini10 places · 1 notes

La même question, à laquelle Gemini a répondu seul. La liste finale ci-dessus combine toutes les IA.

  1. 1
    OpenSSL (libcrypto / libssl)

    Protège le trafic TLS de plus de 80 % des serveurs HTTPS, mais une seule vérification de bornes manquante en 2014 a laissé fuir la mémoire privée de tout le web.

  2. 2
    zlib (libz)

    Lié silencieusement aux environnements d'exécution Node.js, Python et PHP, laissant 47,1 % des réponses des serveurs HTTP dépendre d'un modèle mémoire vieux de 30 ans.

  3. 3
    cURL (libcurl)

    Traite chaque jour des milliards d'appels d'API automatisés en backend, pourtant un seul dépassement de tas SOCKS5 en 2023 a exposé les microservices modernes à une prise de contrôle à distance.

    Source ↗
  4. 4
    libxml2

    Analyse des documents non fiables derrière lxml de Python, Nokogiri de Ruby et DOM de PHP, en accumulant plus de 100 failles historiques de sécurité mémoire au passage.

  5. 5
    PCRE / PCRE2

    Exécute des expressions régulières dans les règles de réécriture de Nginx et le moteur preg de PHP, où des motifs de récursion imbriqués déclenchent couramment des écritures de tas hors limites.

  6. 6
    glibc (bibliothèque C de GNU)

    Forme la couche d'appels système racine de chaque conteneur web Linux standard, où un dépassement dans l'éditeur de liens dynamique ld.so accordait les droits root locaux sans authentification.

  7. 7
    SQLite (libsqlite3)

    Intègre un moteur SQL complet dans PDO de PHP, sqlite3 de Python et les environnements Node.js, créant des voies de corruption de mémoire via des tables virtuelles forgées.

  8. 8
    ICU (libicu)

    Gère la collation Unicode dans les modules intl de Node.js et PHP avec des tables d'analyse si complexes que des dépassements d'entiers mènent à l'exécution de code arbitraire.

  9. 9
    Brotli (libbrotli)

    Intégré nativement dans PHP et Node.js pour le décodage rapide de flux, où une écriture hors limites d'octobre 2026 a imposé des reconstructions binaires urgentes sur plusieurs versions.

    Source ↗
  10. 10
    ImageMagick (libMagickCore)

    Confie les envois d'avatars et de médias des utilisateurs, non fiables, à d'anciens décodeurs C, ce qui déclenche des incidents récurrents de corruption de mémoire et d'injection de commandes à distance.

    Source ↗

Ce que Gemini a remarqué

Les langages serveur de haut niveau assurent la sécurité mémoire du code applicatif, mais confier l'analyse des octets à des bibliothèques C/C++ de base signifie que plus de 80 % des vulnérabilités d'exécution de code à distance surviennent sous la frontière du runtime du langage.

🇺🇸 Nova5 places · 2 notes

La même question, à laquelle Nova a répondu seul. La liste finale ci-dessus combine toutes les IA.

  1. 1
    Zstandard (Zstd)

    Décompresse à 200-400 MB/s avec un taux de compression de 2,5-3,5x, mais son défaut de validation de flux de 2026 a accru les risques de déni de service.

    Source ↗
  2. 2
    Brotli

    Compresseur de Google à taux de 4 à 5x, utilisé dans PHP 8.2+, mais CVE-2026-111497 a fait de la décompression un vecteur d'exécution de code à distance.

  3. 3
    Gzip (DEFLATE)

    Le compresseur original du web, qui traite encore 80 % du trafic HTTP avec un taux de 1,5-2x, mais il est grevé par d'anciennes failles de zlib.

    Source ↗
  4. 4
    LZ4

    Décompresseur le plus rapide, à plus de 500 MB/s, mais avec un taux de seulement 1,5-2x ; sa simplicité évite les vulnérabilités complexes vues dans Brotli/Zstd.

    Source ↗
  5. 5
    zlib (gzip/deflate)

    Bibliothèque de base de Gzip, avec d'anciens problèmes de lecture hors limites (CVE-2022-37434), mais toujours le choix le plus sûr pour les systèmes anciens.

Ce que Nova a remarqué

L'absence de CVE de LZ4 et sa décompression à 512 MB/s en font le choix le plus sûr pour les hautes performances, mais son taux de 1,6x limite les économies de bande passante.

Zstd offre le meilleur équilibre entre vitesse (321 MB/s) et taux (2,87x), mais sa faille de déni de service de 2026 prouve que même les algorithmes modernes ne sont pas à l'abri des attaques de cas limites.

🇨🇳 StepFun10 places · 1 notes

La même question, à laquelle StepFun a répondu seul. La liste finale ci-dessus combine toutes les IA.

  1. 1
    OpenSSL (libssl / libcrypto)

    330 CVE recensées et un seul avis de janvier 2026 qui en a livré 12 d'un coup – chaque poignée de main HTTPS du web passe par elle.

    Source ↗
  2. 2
    zlib (libz)

    19 CVE, et un dépassement de tas dans inflate() qui est resté dans le chemin gzip HTTP par défaut jusqu'à la 1.2.12.

  3. 3
    libcurl

    PHP, Python et Ruby l'embarquent tous, et le dépassement de tas SOCKS5 qui lui a valu un 9,8 de NVD.

    Source ↗
  4. 4
    libxml2

    116 CVE, et un dépassement d'entier qui s'est propagé à PHP et Swift en même temps.

    Source ↗
  5. 5
    PCRE2

    Les preg_* de PHP et les blocs location de nginx sont des expressions régulières en C – 19 CVE pour le seul produit PCRE2, 66 pour toute la famille PCRE.

    Source ↗
  6. 6
    SQLite3

    87 CVE au compteur – et une page du mainteneur qui affirme que la plupart ne vous concernent pas.

  7. 7
    Brotli (décodeur C de Google)

    L'entrée la plus récente de cette liste, et la seule à avoir eu un bogue d'exécution de code à distance dans un décodeur embarqué à la fois dans Node.js, Bun, PHP et Python.

  8. 8
    libexpat

    70 CVE dans l'analyseur XML en flux que la bibliothèque standard de Python et une longue liste de services C++ utilisent.

  9. 9
    libjpeg-turbo

    Chaque avatar envoyé sur le web passe par un décodeur JPEG en C qui traîne 17 CVE.

  10. 10
    glibc (bibliothèque C de GNU)

    Le substrat de chaque processus PHP, Node.js, Python, Ruby et .NET sous Linux – 168 CVE sur un miroir, 13 sur un autre, pour la même requête.

Ce que StepFun a remarqué

curl est le cas le plus clair de désaccord sur les mesures : le projet compte 146 corrections de sécurité dans son histoire et son auteur affirme que seules deux CVE de gravité HAUTE ont été publiées depuis 2021, alors qu'un analyseur indépendant (AISLE) a fait remonter six CVE supplémentaires que les systèmes d'IA de pointe ont totalement manquées.

🇨🇳 Kimi10 places · 1 notes

La même question, à laquelle Kimi a répondu seul. La liste finale ci-dessus combine toutes les IA.

  1. 1
    OpenSSL

    Une seule bibliothèque C sous environ 90 % du trafic chiffré du web, avec une suite ininterrompue d'avis de CVE de 2002 à 2026.

  2. 2
    zlib

    Intégrée à PHP, Node, Python et curl – et même liée à l'intérieur d'OpenSSL ; son pire bogue inflate() a obtenu un score de 9,8.

  3. 3
    libcurl

    La bibliothèque cliente HTTP derrière l'extension curl de PHP entraîne cinq autres bibliothèques C dans chaque installation – et continue de publier ses propres CVE.

    Source ↗
  4. 4
    libxml2

    L'analyseur XML de PHP a absorbé cinq CVE de corruption de mémoire dans une seule mise à jour de 2025 – utilisations après libération, confusion de type et dépassement de pile.

  5. 5
    libexpat

    L'analyseur SAX intégré à Python et à d'innombrables outils a corrigé 14 vulnérabilités dans une seule version de juin 2026.

  6. 6
    nghttp2

    L'implémentation C de référence de HTTP/2 – liée par curl et PHP – est à l'origine des classes de CVE Rapid Reset et CONTINUATION-flood.

    Source ↗
  7. 7
    PCRE2

    Chaque appel preg_* de PHP passe par ce moteur d'expressions régulières en C – dont le compilateur JIT a transformé des motifs forgés en lectures hors limites notées CVSS 9,1.

    Source ↗
  8. 8
    SQLite

    Intégrée à PHP, Python et tous les navigateurs – si propre que les CVE « critiques » de 2026 déposées contre elle ont été écartées comme de la production d'IA bâclée.

  9. 9
    Brotli (libbrotli)

    La bibliothèque la plus jeune de la liste, et déjà une exécution de code à distance non authentifiée en service – exactement le schéma de « décompression d'entrée » de l'histoire du contexte.

  10. 10
    GnuTLS

    Le TLS par défaut de la famille RHEL : un double free trouvé par Project Zero dans la vérification des certificats est son type de bogue caractéristique.

Ce que Kimi a remarqué

Le comptage des CVE se dégrade lui-même comme mesure : le NVD est passé à un enrichissement sélectif face à 44 509 divulgations en 2025 (en hausse de 263% en volume depuis 2020), et en 2026 des CVE SQLite fabriquées ont obtenu 9,8 à 10,0 avant d'être démenties.

🇨🇳 DeepSeek10 places

La même question, à laquelle DeepSeek a répondu seul. La liste finale ci-dessus combine toutes les IA.

  1. 1
    OpenSSL 2026

    296 CVE, 40 notées 9,0 et plus et 27 dans la bande 7,0–8,9 – aucune autre bibliothèque C partagée ne combine cette empreinte de déploiement avec cette densité d'historique de corruption de mémoire à distance.

  2. 2
    zlib 2026

    19 CVE depuis 2002, 9 avec des exploits publics, et un dépassement de tas CVSS 9,8 dans inflate – le décompresseur derrière gzip, PNG et d'innombrables piles HTTP.

  3. 3
    libxml2 2026

    133 CVE suivies – un analyseur XML avec plus de failles documentées de corruption de mémoire que la plupart des noyaux de systèmes d'exploitation, chargé en silence par les environnements PHP, Python et Ruby.

  4. 4
    libcurl 2026

    Le client HTTP universel : 18 CVE corrigées dans une seule version de juin 2026, dont un bogue mémoire vieux de 25 ans, et il est intégré aux environnements PHP, Node.js et Python.

  5. 5
    glibc 2026

    162 CVE dans glibc — la dépendance partagée la plus profonde qui soit, avec notamment un dépassement de tampon sur la pile dans ld.so, accessible depuis des programmes setuid.

  6. 6
    libpng 2026

    Chaque image PNG qui traverse un environnement web passe par libpng ; rien qu'en 2026, on a relevé un dépassement de tampon sur le tas et une utilisation après libération dans la gestion des blocs.

    Source ↗
  7. 7
    libjpeg-turbo 2026

    17 CVE dans une bibliothèque qui décode presque chaque JPEG du web ; un dépassement de tampon sur le tas en 2026 dans l'upsampling fusionné montre que la surface d'attaque du décodage d'images est toujours active.

    Source ↗
  8. 8
    PCRE2 2026

    Le moteur d'expressions régulières de PHP et de nombreux serveurs web ; 2026 a produit une écriture hors limites due à un dépassement d'entier et une faille de corruption de mémoire du JIT dans pcre2_jit_match.

    Source ↗
  9. 9
    SQLite 2026

    La base de données par défaut de PHP et des environnements mobiles et web ; une page FTS5 forgée peut déclencher une lecture hors limites et un dépassement de tampon sur le tas dans le moteur de recherche plein texte.

  10. 10
    nghttp2 2026

    La pile HTTP/2 en C derrière curl, Node.js et de nombreux reverse proxies ; la gestion de trames malformées a produit en 2026 un déni de service à distance et une CVE de validation d'état.

    Source ↗
🇨🇳 Wenxin10 places

La même question, à laquelle Wenxin a répondu seul. La liste finale ci-dessus combine toutes les IA.

  1. 1
    zlib

    Déployé sur 99 % des serveurs et environnements web comme implémentation DEFLATE de base, avec plus de 12 failles mémoire documentées notées CVSS 8,0 et plus en vingt ans d'usage public

  2. 2
    Cœur d'exécution PHP (implémentation en C)

    Fait tourner 70 % des sites web mondiaux sur des serveurs web, avec trois nouvelles failles de corruption mémoire non authentifiées, notées CVSS 9,0 et plus, divulguées publiquement rien qu'en octobre 2026

  3. 3
    OpenSSL

    Bibliothèque de terminaison TLS utilisée par 98 % des serveurs web HTTPS, avec un long historique de failles mémoire distantes critiques, dont le Heartbleed de 2014, CWE-125 : lecture hors limites

  4. 4
    libc (glibc)

    Bibliothèque C standard du système, dont dépendent tous les environnements web Linux, qui héberge des failles critiques comme la faille Ghost de 2016 (CVE-2015-0235), qui permettait l'exécution de code à distance sans authentification

  5. 5
    libbrotli

    Bibliothèque de décodage Brotli désormais intégrée à .NET, Node.js et aux serveurs web Apache, avec une preuve de concept publique d'exécution de code à distance (CVE-2026-111497) publiée sur GitHub la veille du 27 octobre 2026

    Source ↗
  6. 6
    libcurl

    Bibliothèque de transfert d'URL intégrée à presque tous les environnements serveur qui envoient des requêtes HTTP sortantes, avec 27 failles de corruption mémoire documentées notées CVSS 8,0 et plus dans son historique

    Source ↗
  7. 7
    SQLite

    Bibliothèque de base de données embarquée, préinstallée dans PHP, Python, Node.js et Ruby, avec un bilan constant de failles mémoire distantes liées à l'analyse de SQL non fiable

  8. 8
    libxml2

    Bibliothèque d'analyse XML utilisée par presque tous les frameworks web côté serveur, responsable de dizaines de failles historiques d'XXE et de dépassements de tampon à distance qui traitent du XML non fiable

  9. 9
    zstd (libzstd)

    Bibliothèque de compression de nouvelle génération, rapide, désormais incluse dans Nginx 2026, Node.js 22+ et les environnements web modernes, avec seulement 3 CVE critiques documentées à ce jour grâce à sa base de code plus jeune

    Source ↗
  10. 10
    libpng

    Bibliothèque de décodage PNG intégrée à tous les langages backend qui traitent des images envoyées par les utilisateurs, avec 18 dépassements de tampon critiques publiquement documentés depuis sa première version en 1995

    Source ↗
🇨🇳 Qwen10 places · 1 notes

La même question, à laquelle Qwen a répondu seul. La liste finale ci-dessus combine toutes les IA.

  1. 1
    zlib

    Le poumon invisible d'Internet, qui compresse 90 % du trafic web tout en laissant discrètement passer des CVE de corruption mémoire tous les quelques ans.

    Source ↗
  2. 2
    OpenSSL (libssl)

    Le socle cryptographique qui sécurise le web, mais son immense base de code C est une cible permanente de corruptions de tas catastrophiques comme Heartbleed.

    Source ↗
  3. 3
    libcurl

    Le moteur de transfert de données universel des environnements backend, récemment surpris à gérer des états de dépendance de flux HTTP/2 avec une logique dangereuse d'utilisation après libération.

    Source ↗
  4. 4
    libxml2

    L'analyseur qui traite les charges SOAP et XML non fiables, qui a déclenché en octobre 2026 le dépassement de tampon sur le tas PHP2Shell dans les wrappers de flux.

    Source ↗
  5. 5
    libuv

    Le battement asynchrone de Node.js, qui gère les pools de threads et les E/S de fichiers, trébuche parfois sur des conditions de concurrence dans la gestion mémoire en C.

    Source ↗
  6. 6
    libsqlite3

    Le moteur de base de données le plus déployé au monde, qui exécute silencieusement des machines d'état SQL complexes au sein des frameworks web, sans frontières sûres pour la mémoire.

    Source ↗
  7. 7
    libpng

    Le décodeur d'images qui fait confiance implicitement aux en-têtes de pixels, ayant historiquement permis des corruptions de tas massives à partir d'un seul envoi malformé.

    Source ↗
  8. 8
    libjpeg

    Transforme les transformées en cosinus discrètes en tampons mémoire ; cette bibliothèque a traversé des décennies de débordements d'entiers dans les en-têtes d'image non fiables.

    Source ↗
  9. 9
    libicu

    Gère la complexité immense de la collation Unicode en C, en exposant parfois de profonds dépassements de tampon lors de l'analyse de chaînes internationales malformées.

    Source ↗
  10. 10
    PCRE (expressions régulières compatibles Perl)

    Évaluer des expressions régulières récursives en C invite au retour arrière catastrophique et aux débordements de pile lorsqu'on lui soumet des chaînes de recherche malveillantes.

    Source ↗

Ce que Qwen a remarqué

Les correctifs d'urgence PHP d'octobre 2026 montrent que les langages sûrs pour la mémoire comme PHP délèguent encore l'analyse d'octets réseau non fiables à des bibliothèques C natives, comme Brotli et libxml2, ce qui crée une friction systémique.