Bulletin d'actualité du CERT-FR
Objet : Bulletin d'actualité CERTFR-2026-ACT-047
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs. Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information. Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 45
Tableau récapitulatif :
Rappel des alertes CERT-FR
[MàJ] Multiples vulnérabilités dans Ivanti Connect Secure (ICS)
Le 29 octobre 2026, Ivanti a mis à jour son avis de sécurité du 13 octobre 2026 pour ajouter deux vulnérabilités (CVE-2026-111357 et CVE-2026-118527). Celles-ci permettent à un attaquant authentifié d'élever ses privilèges et de téléverser un fichier arbitraire sur un emplacement connu du disque.Ivanti indique que les vulnérabilités CVE-2026-111357 et CVE-2026-118527 sont activement exploitées et a mis à disposition des correctifs pour les versions 22.8Rx et 25.1.1.x.
Liens :
- Bulletin de sécurité Ivanti Security Advisory Ivanti Connect Secure (CVE-2026-104935)
- Avis CERT-FR CERTFR-2026-AVI-1442 du 2 novembre 2026
- Avis CERT-FR CERTFR-2026-AVI-1311 du 14 octobre 2026
- CVE-2026-104935
- CVE-2026-111357
- CVE-2026-118527
[MàJ] Vulnérabilité dans OpenSSH
Le 5 novembre 2026, OpenSSH a publié un avis de sécurité concernant la vulnérabilité CVE-2026-123158, qui permet à un attaquant de contourner l’authentification d'un service SSH.En effet, sur les systèmes Linux qui utilisent la bibliothèque standard C musl, compilés sans support PAM ou avec PAM désactivé, un attaquant peut se connecter en fournissant deux mots de passe, dont le deuxième est d'une longueur strictement supérieure à 256 caractères et inférieure à 1024.
Lorsque les conditions sont réunies, cette vulnérabilité est triviale à exploiter. Il convient donc de vérifier si le système est dans une configuration vulnérable.
Il est préférable de désactiver l'authentification par mot de passe ou, à défaut, de désactiver le service, si l'application du correctif est impossible.
Le CERT-FR précise que toute installation de correctif ou modification de la configuration doit impérativement s'accompagner d'un redémarrage du service sshd.
Liens :
- Bulletin de sécurité OpenSSH release-10.6p2
- Bulletin de sécurité Alpine 2026-11-05-openssh-password-authentication-bypass
- Avis CERT-FR CERTFR-2026-AVI-1468 du 5 novembre 2026
- sshhole
- Avis CERT-FR CERTFR-2026-AVI-1480 du 5 novembre 2026
- CVE-2026-123158
Autres vulnérabilités
Tableau récapitulatif :
Gestion détaillée du document
| Date | Description |
|---|---|
| 09 novembre 2026 | Version initiale |