Bulletin d'actualité du CERT-FR
Objet : Bulletin d'actualité CERTFR-2026-ACT-046
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs. Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information. Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 44
Tableau récapitulatif :
CVE-2026-111497 : Vulnérabilité dans Google Brotli
Le 21 octobre 2026, Node.js a publié un avis de sécurité concernant la vulnérabilité critique CVE-2026-111497 affectant Brotli. Cette vulnérabilité surnommée Broccoli2shell, permet à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance.Brotli est une bibliothèque libre de compression utilisée par de nombreux éditeurs tels que Microsoft, Palo Alto Networks, Python Software Foundation, VMware, Cisco, Splunk et Mitel. Node.js, Microsoft, Palo Alto Networks et Python Software Foundation ont mis à disposition des correctifs de sécurité. Les autres éditeurs procèdent actuellement à une analyse de leurs produits afin d’identifier ceux qui pourraient être concernés par cette vulnérabilité.
Liens :
Rappel des alertes CERT-FR
[Màj] Multiples vulnérabilités dans PHP
Le 23 octobre 2026, PHP a publié un avis de sécurité concernant la vulnérabilité CVE-2026-115560. Celle-ci permet une exécution de code arbitraire à distance. L'éditeur estime que les conditions d'exploitation exigent une combinaison d'options de configuration et de code applicatif peu probable. Un correctif sera donc publié à l'occasion du prochain cycle de mises à jour.Le CERT-FR constate des tentatives d'exploitation des vulnérabilités CVE-2026-109618 et CVE-2026-109619 ciblant des déploiements spécifiques de PHP.
De plus, le CERT-FR incite à la vigilance et rappelle que le langage PHP est utilisé dans de nombreux produits, il est donc important d'appliquer les correctifs dès que ceux-ci seront disponibles. En effet, de nombreux produits sont potentiellement impactés par cette vulnérabilité. On trouvera une liste non exhaustive de cette dernière fournie par le NCSC-NL.
Liens :
Incidents
Comprimission des certificats TLS intermédiaires d'eMudhra
Le 20 octobre 2026, Mozilla a publié un billet de blogue annonçant que les clés privées associées à huit certificats TLS intermédiaires eMudhra ont été compromises. eMudhra a identifié la cause de l'incident de sécurité, les clés privées des certificats ont été générées avec une taille faible.
En réponse à cet incident, certains éditeurs ont supprimé ces certificats de l'autorité eMudhra de la liste des certificats préinstallés ou les ont désactivés.
Liens
- https://emudhra.com/en/post/certificate-security-incident
- https://blog.mozilla.org/security/2026/10/20/protecting-firefox-users-following-the-compromise-of-emudhra-intermediate-certificates/
- https://www.microsoft.com/en-us/msrc/blog/2026/10/microsoft-response-to-compromised-emudhra-certificate-authority-keys
Autres vulnérabilités
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis éditeur |
|---|---|---|---|---|---|---|---|
| Adobe | Commerce, Commerce B2B, Magento, I\/O Events | CVE-2026-48356 | 9.3 | Exécution de code arbitraire à distance | 11/08/2026 | Exploitée | https://www.adobe.com/trust/security/products/commerce/apsb26-73.html |
| Cisco | Firewall Threat Defense, Adaptive Security Appliance | CVE-2026-76418 | 8.6 | Déni de service à distance | 29/10/2026 | Exploitée | https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-tunnel-dos-s6mgkb75 |
| VMware | Cloud Foundation, vSphere Foundation, vSphere ESXi, Telco Cloud Platform | CVE-2026-41709 | 2.7 | Contournement de la politique de sécurité | 29/07/2026 | Exploitée | https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017 |
| Progress Software | Telerik UI | CVE-2026-19219 | 8.1 | Exécution de code arbitraire à distance, Atteinte à l'intégrité des données, Contournement de la politique de sécurité | 02/09/2026 | Code d'exploitation public | https://www.telerik.com/products/aspnet-ajax/documentation/knowledge-base/kb-security-dialoghandler-uploadpaths-tampering-cve-2026-19219 |
| Progress Software | Telerik UI | CVE-2026-18672 | 7.5 | Contournement de la politique de sécurité | 02/09/2026 | Code d'exploitation public | https://www.telerik.com/products/aspnet-ajax/documentation/knowledge-base/kb-security-rie-path-traversal-cve-2026-18672 |
| Drupal | Commerce Core | CVE-2026-118539 | 6.5 | Contournement de la politique de sécurité | 28/10/2026 | Pas d'information | https://www.drupal.org/sa-contrib-2026-254 |
Gestion détaillée du document
| Date | Description |
|---|---|
| 02 novembre 2026 | Version initiale |