Bulletin d'actualité du CERT-FR

Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs. Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information. Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.

Vulnérabilités significatives de la semaine 29

Tableau récapitulatif :

Vulnérabilités critiques du 13/07/26 au 19/07/26

Editeur	Produit	Identifiant CVE	CVSS (source)	Type de vulnérabilité	Date de publication	Exploitabilité (Preuve de concept publique)	Avis Cert-FR	Avis éditeur
Microsoft	SharePoint Enterprise Server 2016, SharePoint Server 2019, SharePoint Server Subscription Edition	CVE-2026-58644	9.8 (NVD)	Exécution de code arbitraire à distance	14/07/2026	Exploitée	CERTFR-2026-AVI-0872	https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-58644
Microsoft	SharePoint Enterprise Server 2016, SharePoint Server 2019, SharePoint Server Subscription Edition	CVE-2026-56164	5.3 (NVD)	Élévation de privilèges	14/07/2026	Exploitée	CERTFR-2026-AVI-0872	https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-56164
Microsoft	Windows	CVE-2026-56155	7.8 (NVD)	Élévation de privilèges	14/07/2026	Exploitée	CERTFR-2026-AVI-0869	https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-56155
Progress	Connection Manager For Objectscale, Loadmaster, Ecs Connection Manager	CVE-2026-8037	9.8 (NVD)	Exécution de code arbitraire à distance	04/06/2026	Code d'exploitation public	CERTFR-2026-AVI-0883	https://community.progress.com/s/article/LoadMaster-Critical-Security-Bulletin-June-2026-CVE-2026-8037-CVE-2026-33691
Mozilla	Firefox	CVE-2026-15718	4.3 (NVD)	Non spécifié par l'éditeur	14/07/2026	Code d'exploitation public	CERTFR-2026-AVI-0887	https://www.mozilla.org/en-US/security/advisories/mfsa2026-67/
Mozilla	Firefox	CVE-2026-15719	5.4 (NVD)	Non spécifié par l'éditeur	14/07/2026	Code d'exploitation public	CERTFR-2026-AVI-0887	https://www.mozilla.org/en-US/security/advisories/mfsa2026-67/
Microsoft	Windows	CVE-2026-50475	5.5 (NVD)	Atteinte à la confidentialité des données	14/07/2026	Code d'exploitation public	CERTFR-2026-AVI-0869	https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50475
Microsoft	Windows	CVE-2026-58613	7.8 (NVD)	Élévation de privilèges	14/07/2026	Code d'exploitation public	CERTFR-2026-AVI-0869	https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-58613

Rappel des alertes CERT-FR

Multiples vulnérabilités dans Sonicwall Secure Mobile Access

Le 14 juillet 2026, Sonicwall a publié un avis de sécurité concernant deux vulnérabilités affectant les Secure Mobile Access (SMA) 1000. La vulnérabilité critique CVE-2026-15409 permet une falsification de requêtes côté serveur (SSRF) de la part d'un attaquant non authentifié. La vulnérabilité CVE-2026-15410 permet à un attaquant authentifié avec les droits administrateur d'exécuter du code arbitraire à distance. L'éditeur indique que ces deux vulnérabilités sont activement exploitées, sans préciser s'il est possible pour un attaquant non authentifié de chaîner l'exploitation de ces deux vulnérabilités pour prendre la main sur l'équipement. Cependant, Sonicwall fournit des indicateurs de compromission à rechercher. En cas de présence de l'un de ceux-ci dans les journaux mentionnés dans l'avis de l'éditeur, l'application des correctifs n'est pas suffisante. En effet, celui-ci recommande alors de :

• réinstaller le système ;
• changer tous les mots de passe utilisateurs et administrateurs ;
• réinitialiser les mots de passe à usage unique basé sur le temps (TOTP, Time based One Time Password).

Liens :

• Bulletin de sécurité Sonicwall SNWLID-2026-0008
• Communication Sonicwall du 14 juillet 2026
• Avis CERT-FR CERTFR-2026-AVI-0875 du 15 juillet 2026
• CVE-2026-15410
• CVE-2026-15409

Autres vulnérabilités

Tableau récapitulatif :

Editeur	Produit	Identifiant CVE	CVSS	Type de vulnérabilité	Date de publication	Exploitabilité (Preuve de concept publique)	Avis éditeur
Fortinet	FortiSandbox	CVE-2026-25089	9.8	Exécution de code arbitraire à distance, Contournement de la politique de sécurité	09/06/2026	Exploitée	https://fortiguard.fortinet.com/psirt/FG-IR-26-141
Fortinet	FortiSandbox	CVE-2026-39808	9.8	Exécution de code arbitraire à distance	14/04/2026	Exploitée	https://fortiguard.fortinet.com/psirt/FG-IR-26-100
Oracle	E-Business Suite	CVE-2026-46817	9.8	Atteinte à la confidentialité des données, Atteinte à l'intégrité des données	28/05/2026	Exploitée	https://www.oracle.com/security-alerts/cspumay2026.html
Knx	Connection Authorization	CVE-2023-4346	7.5	Non spécifié par l'éditeur	29/08/2023	Exploitée	https://www.cisa.gov/news-events/ics-advisories/icsa-23-236-01
Cisco	Ios	CVE-2008-4128	4.3	Exécution de code arbitraire à distance, Injection de requêtes illégitimes par rebond (CSRF)	18/09/2008	Exploitée	https://www.cisco.com/c/en/us/obsolete/ios-nx-os-software/cisco-ios-software-releases-12-4-mainline.html