Mattermost Server : correctifs de sécurité relayés par le CERT-FR

Mattermost a publié le 19 octobre un lot de correctifs de sécurité pour son serveur de collaboration, répercuté par le CERT-FR dans l'avis CERTFR-2026-AVI-1344 le 20 octobre 2026. Mattermost étant massivement auto-hébergé — y compris dans des environnements régulés, cloisonnés ou souverains où il remplace les messageries SaaS — toute instance exposée doit être mise à jour sans attendre la publication des détails.

Versions concernées

D'après le CERT-FR, les versions affectées et corrigées sont :

• 11.7.x antérieures à 11.7.12
• 11.8.x antérieures à 11.8.6
• 11.10.x antérieures à 11.10.3
• 11.11.x antérieures à 11.11.2

Les versions corrigées sont donc 11.7.12, 11.8.6, 11.10.3 et 11.11.2. L'avis s'appuie sur quinze bulletins de sécurité de l'éditeur, de MMSA-2026-00720 à MMSA-2026-00785, tous datés du 19 octobre.

Nature des failles : sous embargo

C'est le point à signaler honnêtement. Le CERT-FR qualifie le risque de « non spécifié par l'éditeur » et ne liste aucune vulnérabilité précise ni aucun identifiant CVE. Ce n'est pas un oubli : la politique de divulgation de Mattermost prévoit que les détails techniques d'une faille ne sont publiés que 30 jours après la mise à disposition du correctif. Au moment de la publication, ni la gravité, ni le type (RCE, XSS, contrôle d'accès, déni de service…), ni les CVE ne sont donc connus publiquement. Nous ne citons aucun numéro de CVE tant qu'il n'est pas publié par l'éditeur ou le NVD.

La conséquence pratique est inversée par rapport à une faille documentée : vous ne pouvez pas trier sur la criticité annoncée, puisqu'elle ne l'est pas. Le volume — quinze bulletins sur quatre branches maintenues — et la politique de mise à jour obligatoire de l'éditeur suffisent à traiter ce lot comme prioritaire.

Que faire

1. Identifiez la branche et la version exactes de chaque instance Mattermost Server exposée.
2. Mettez à jour vers 11.7.12, 11.8.6, 11.10.3 ou 11.11.2 selon votre branche, en priorisant les instances accessibles depuis Internet.
3. Si la mise à jour doit attendre, restreignez l'accès à l'interface (filtrage réseau, VPN, authentification en amont).
4. Vérifiez la version réellement servie après déploiement — une instance derrière un reverse proxy peut rester en arrière.
5. Surveillez l'annonce des détails par l'éditeur dans 30 jours pour réévaluer l'exposition rétrospective de votre fenêtre non corrigée.

Contexte

Mattermost publie régulièrement des lots de correctifs multi-branches sous ce régime d'embargo de 30 jours, ce qui place les opérateurs devant un arbitrage familier : patcher à l'aveugle sur la foi d'une version maintenue, ou attendre des détails qui n'arriveront qu'un mois plus tard. Pour une plateforme qui centralise les échanges internes d'une organisation, l'attente est le mauvais pari.