Bulletin d'actualité du CERT-FR
Objet : Bulletin d'actualité CERTFR-2026-ACT-045
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs. Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information. Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 43
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS (source) | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis Cert-FR | Avis éditeur |
|---|---|---|---|---|---|---|---|---|
| HPE Aruba Networking | AOS | CVE-2026-79844 | 10 (NVD) | Exécution de code arbitraire à distance, Contournement de la politique de sécurité | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79846 | 10 (NVD) | Exécution de code arbitraire à distance | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79847 | 10 (NVD) | Exécution de code arbitraire à distance | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79848 | 10 (NVD) | Exécution de code arbitraire à distance, Injection SQL (SQLi) | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79849 | 10 (NVD) | Exécution de code arbitraire à distance, Injection SQL (SQLi) | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79850 | 10 (NVD) | Exécution de code arbitraire à distance, Contournement de la politique de sécurité | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79851 | 10 (NVD) | Exécution de code arbitraire à distance | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79852 | 9.8 (NVD) | Exécution de code arbitraire à distance, Injection SQL (SQLi) | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79853 | 9.8 (NVD) | Exécution de code arbitraire à distance, Atteinte à la confidentialité des données | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79854 | 9.8 (NVD) | Exécution de code arbitraire à distance, Injection SQL (SQLi) | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79855 | 9.8 (NVD) | Élévation de privilèges, Contournement de la politique de sécurité | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79856 | 9.8 (NVD) | Atteinte à la confidentialité des données, Contournement de la politique de sécurité | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79857 | 9.8 (NVD) | Exécution de code arbitraire à distance | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79858 | 9.8 (NVD) | Exécution de code arbitraire à distance, Atteinte à la confidentialité des données, Injection SQL (SQLi) | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79859 | 9.8 (NVD) | Exécution de code arbitraire à distance | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79860 | 9.8 (NVD) | Exécution de code arbitraire à distance | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79861 | 9.8 (NVD) | Exécution de code arbitraire à distance | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| Cisco | Unified Communications Manager, Unified Communications Manager IM & Presence Service, Unity Connection | CVE-2026-76473 | 9.8 (NVD) | Contournement de la politique de sécurité | 21/10/2026 | Pas d'information | CERTFR-2026-AVI-1360 | https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-voice-hardening-twgbH9e3 |
| Cisco | Unified Communications Manager, Unified Communications Manager IM & Presence Service, Unity Connection | CVE-2026-76474 | 9.8 (NVD) | Contournement de la politique de sécurité | 21/10/2026 | Pas d'information | CERTFR-2026-AVI-1360 | https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-voice-hardening-twgbH9e3 |
| Cisco | TelePresence VCS | CVE-2026-76466 | 9.8 (NVD) | Exécution de code arbitraire à distance, Contournement de la politique de sécurité | 21/10/2026 | Pas d'information | CERTFR-2026-AVI-1360 | https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-vcs-static-cred-hr7EWZ8t |
| SolarWinds | Observability Self-Hosted | CVE-2026-28324 | 9.8 (NVD) | Exécution de code arbitraire à distance | 20/10/2026 | Pas d'information | CERTFR-2026-AVI-1364 | https://www.solarwinds.com/trust-center/security-advisories/cve-2026-28328 |
| HPE Aruba Networking | AOS | CVE-2026-79862 | 9.6 (NVD) | Exécution de code arbitraire | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79863 | 9.6 (NVD) | Exécution de code arbitraire | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79864 | 9.6 (NVD) | Exécution de code arbitraire | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79865 | 9.6 (NVD) | Exécution de code arbitraire à distance, Exécution de code arbitraire | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79866 | 9.6 (NVD) | Atteinte à la confidentialité des données | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79867 | 9.6 (NVD) | Exécution de code arbitraire, Contournement de la politique de sécurité | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79868 | 9.6 (NVD) | Atteinte à la confidentialité des données, Contournement de la politique de sécurité | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79869 | 9.6 (NVD) | Exécution de code arbitraire, Contournement de la politique de sécurité | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79870 | 9.6 (NVD) | Atteinte à la confidentialité des données, Contournement de la politique de sécurité | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79871 | 9.6 (NVD) | Atteinte à la confidentialité des données | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79872 | 9.4 (NVD) | Exécution de code arbitraire à distance | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79873 | 9.3 (NVD) | Atteinte à la confidentialité des données, Contournement de la politique de sécurité | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79874 | 9.3 (NVD) | Atteinte à la confidentialité des données, Contournement de la politique de sécurité | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79875 | 9.3 (NVD) | Atteinte à la confidentialité des données, Contournement de la politique de sécurité | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| HPE Aruba Networking | AOS | CVE-2026-79876 | 9.3 (NVD) | Atteinte à la confidentialité des données | 22/10/2026 | Pas d'information | CERTFR-2026-AVI-1369 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt |
| Cisco | Unified Communications Manager, Unified Communications Manager IM & Presence Service, Unity Connection | CVE-2026-76475 | 9.3 (NVD) | Contournement de la politique de sécurité | 21/10/2026 | Pas d'information | CERTFR-2026-AVI-1360 | https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-voice-hardening-twgbH9e3 |
| F5 | NGINX Open Source, NGINX Plus | CVE-2026-15176 | 9.2 (NVD) | Exécution de code arbitraire à distance, Déni de service à distance, Contournement de la politique de sécurité | 14/10/2026 | Pas d'information | CERTFR-2026-AVI-1341 | https://my.f5.com/manage/s/article/K000163408 https://my.f5.com/manage/s/article/K000162416 |
| F5 | NGINX Open Source, NGINX Plus | CVE-2026-93479 | 9.2 (NVD) | Exécution de code arbitraire à distance, Déni de service à distance, Contournement de la politique de sécurité | 14/10/2026 | Pas d'information | CERTFR-2026-AVI-1341 | https://my.f5.com/manage/s/article/K000163408 https://my.f5.com/manage/s/article/K000162607 |
| F5 | NGINX Open Source, NGINX Plus | CVE-2026-97205 | 9.2 (NVD) | Exécution de code arbitraire à distance, Déni de service à distance, Contournement de la politique de sécurité | 14/10/2026 | Pas d'information | CERTFR-2026-AVI-1341 | https://my.f5.com/manage/s/article/K000163408 https://my.f5.com/manage/s/article/K000162608 |
| SolarWinds | Serv-U | CVE-2026-28308 | 9.1 (NVD) | Exécution de code arbitraire à distance | 20/10/2026 | Pas d'information | CERTFR-2026-AVI-1364 | https://www.solarwinds.com/trust-center/security-advisories/cve-2026-28329 |
| Apache | Tomcat | CVE-2026-103119 | 9.1 (NVD) | Atteinte à la confidentialité des données | 12/10/2026 | Pas d'information | CERTFR-2026-AVI-1358 | https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.27 |
| Apache | Tomcat | CVE-2026-101356 | 9.1 (NVD) | Atteinte à la confidentialité des données | 12/10/2026 | Pas d'information | CERTFR-2026-AVI-1358 | https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.27 https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.61 https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.123 |
| Apache | Tomcat | CVE-2026-101296 | 9.1 (NVD) | Atteinte à la confidentialité des données | 12/10/2026 | Pas d'information | CERTFR-2026-AVI-1358 | https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.27 https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.61 https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.123 |
| Cisco | Secure Firewall Threat Defense | CVE-2026-20043 | 9 (NVD) | Atteinte à l'intégrité des données | 21/10/2026 | Pas d'information | CERTFR-2026-AVI-1360 | https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-hardening-snort3-ybgmhTQe |
Rappel des alertes CERT-FR
[Màj] Multiples vulnérabilités dans PHP
Le 20 octobre, PHP a publié une communication concernant deux vulnérabilités critiques.
Le 21 octobre, des correctifs de sécurité sont disponibles sur le site de l'éditeur.
Le 23 octobre, PHP a publié un avis de sécurité concernant une nouvelle vulnérabilité (CVE-2026-115560). Cette dernière permet une exécution de code à distance. Cependant, son exploitation reste peu probable. L'éditeur a prévu de corriger cette faille dans une futur mise à jour.
Le 26 octobre, le CERT-FR a connaissance de preuves de concept et de tentatives d'exploitation pour les vulnérabilités CVE-2026-109618 et CVE-2026-109619 pour des déploiements spécifiques de PHP.
Pour rappel, le CERT-FR incite à la vigilance et rappelle que le langage PHP est utilisé dans de nombreux produits.
Liens :
- Alerte de sécurité CERTFR-2026-ALE-014 du 21 octobre 2026
- Avis CERT-FR CERTFR-2026-AVI-1359 du 21 octobre 2026
- Bulletin de sécurité PHP GHSA-w8hw-w9fx-j79w
- Bulletin de sécurité PHP GHSA-6wmf-4rv5-p3rp
Autres vulnérabilités
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis éditeur |
|---|---|---|---|---|---|---|---|
| Arista | Velocloud Orchestrator | CVE-2026-114625 | 9.4 | Élévation de privilèges, Atteinte à la confidentialité des données | 22/10/2026 | Exploitée | https://www.arista.com/en/support/advisories-notices/security-advisory/24838-security-advisory-0199 |
| Collabora Online | Built-in CODE Server | CVE-2026-110447 | 9.2 | Exécution de code arbitraire à distance | 14/10/2026 | Exploitée | https://github.com/CollaboraOnline/online/security/advisories/GHSA-g3vx-3m76-fghh |
| Plex | Media Server | CVE-2026-96656 | 8.6 | Atteinte à la confidentialité des données | 23/09/2026 | Exploitée | https://forums.plex.tv/t/plex-media-server/30447/711 |
| E-Guardian | Siteguard | CVE-2026-106931 | 8.5 | Exécution de code arbitraire | 14/10/2026 | Exploitée | https://jvn.jp/en/jp/JVN88474777/ |
| Siemens | Software Center | CVE-2026-110936 | 8.4 | Exécution de code arbitraire | 15/10/2026 | Exploitée | https://cert-portal.siemens.com/productcert/html/ssa-580366.html |
| Plex | Media Server | CVE-2026-96654 | 6.9 | Atteinte à la confidentialité des données | 23/09/2026 | Exploitée | https://forums.plex.tv/t/plex-media-server/30447/711 |
| Plex | Media Server | CVE-2026-96652 | 5.3 | Falsification de requêtes côté serveur (SSRF) | 23/09/2026 | Exploitée | https://forums.plex.tv/t/plex-media-server/30447/711 |
| Plex | Media Server | CVE-2026-96655 | 5.3 | Atteinte à la confidentialité des données | 23/09/2026 | Exploitée | https://forums.plex.tv/t/plex-media-server/30447/711 |
| Apusthemes | Superio | CVE-2024-12213 | 9.8 | Élévation de privilèges | 12/02/2025 | Code d'exploitation public | https://themeforest.net/item/superio-job-board-wordpress-theme/32180231 |
Gestion détaillée du document
| Date | Description |
|---|---|
| 26 octobre 2026 | Version initiale |