Node.js 20 passe en fin de vie le 30 avril 2026 : effets en cascade sur AWS Lambda et GitHub Actions

Contexte

Le 30 avril 2026, Node.js 20 LTS atteint sa date de fin de vie officielle, une échéance publiée depuis son lancement en avril 2023 dans le dépôt nodejs/Release. Ce n'est pas une surprise, mais c'est une date qui déclenche une série d'effets concrets pour les équipes qui exploitent encore ce runtime — en particulier sur AWS Lambda et les pipelines GitHub Actions. Rappel de contexte : Node.js 18 est lui aussi EOL depuis avril 2025, et Node.js 20 avait basculé en phase de maintenance en octobre 2024.

Points clés

Plus aucun correctif de sécurité à partir du 30 avril. Les CVE affectant Node.js 20 ne recevront plus de patch officiel. Pour les APIs exposées ou les fonctions traitant des données sensibles, cela crée une dette sécurité croissante dès le 1er mai.

AWS Lambda — trois phases de décommissionnement :

30 avril 2026 : Lambda cesse les patches sécurité sur nodejs20.x. Le runtime disparaît de la console AWS, mais reste accessible via AWS CLI, CloudFormation, SAM et CDK pour créer ou mettre à jour des fonctions.
31 août 2026 : création de nouvelles fonctions Lambda sur nodejs20.x impossible par tout moyen, y compris l'infrastructure-as-code.
30 septembre 2026 : mise à jour des fonctions existantes impossible. C'est la deadline réelle pour les équipes qui veulent éviter un blocage opérationnel.

GitHub Actions — migration vers Node.js 24 :

Depuis septembre 2025, Node.js 20 est officiellement déprécié dans les runners GitHub Actions. La migration vers Node.js 24 comme runtime par défaut est planifiée pour le 2 juin 2026. Les actions communautaires qui ciblent encore Node.js 20 généreront des avertissements dans les logs CI/CD, et certaines pourraient se comporter différemment une fois Node.js 24 activé par défaut.

Cibles de migration :

Node.js 22 (LTS depuis octobre 2024, EOL avril 2027) : recommandé pour la majorité des équipes. Disponible sur AWS Lambda depuis novembre 2024.
Node.js 24 (LTS depuis octobre 2025, EOL avril 2028) : préférable pour les nouveaux projets ou les migrations à horizon plus long.

Audit rapide

# Inventorier les versions Node.js en local
node --version

# Lister les fonctions Lambda encore sur nodejs20.x
aws lambda list-functions \
  --query "Functions[?Runtime=='nodejs20.x'].FunctionName" \
  --output text

# Détecter les workflows GitHub Actions ciblant Node.js 20
grep -r "node-version: '20" .github/workflows/
grep -rE "node-version: \"20" .github/workflows/
grep -r "node: 20" .github/workflows/

Nuance et priorisation

Pour les services internes sans surface d'attaque externe et à faible trafic, le risque immédiat après le 30 avril reste limité — les CVE non patchés mettront du temps à être exploités dans la majorité des cas. Mais la fenêtre de migration AWS Lambda se ferme définitivement le 30 septembre 2026 : une migration de Lambda après cette date nécessitera une stratégie de reconstruction plus complexe.

Un point de vigilance souvent sous-estimé : Node.js 22 n'est pas une migration transparente pour les projets qui dépendent de modules avec des addons natifs (node-gyp, bindings C++). Vérifier que les dépendances clés ont publié des builds pour Node.js 22 avant la bascule. La commande npm rebuild et les outils comme node-pre-gyp aident, mais certains packages abandonnés peuvent nécessiter une alternative.

Node.js — calendrier officiel EOL · GitHub Actions : dépréciation Node 20 (septembre 2025) · AWS Lambda — guide de migration Node.js 20 EOL · Schedule officiel nodejs/Release