Mattermost Server : contournement de sécurité corrigé (AVI-1409)

Le CERT-FR a publié le 29 octobre 2026 l'avis CERTFR-2026-AVI-1409, qui relaie le bulletin éditeur MMSA-2026-00742 du 28 octobre : la faille CVE-2026-93851 permet un contournement de la politique de sécurité dans Mattermost Server. Si vous hébergez une instance Mattermost, planifiez la mise à jour.

Versions concernées

• Mattermost Server 11.7.x antérieures à 11.7.11
• Mattermost Server 11.8.x antérieures à 11.8.6
• Mattermost Server 11.9.x antérieures à 11.9.2

Correctif

Mettez à jour vers 11.7.11, 11.8.6 ou 11.9.2 selon votre branche. L'avis ne fournit pas de score CVSS et ne détaille pas le mécanisme de la faille — comme souvent chez Mattermost, le détail technique reste sous embargo le temps que le parc se mette à jour. Référez-vous au bulletin MMSA-2026-00742 pour le périmètre exact.

Que faire

1. Identifiez votre branche et votre version (menu System Console › À propos, ou l'API /api/v4/system/ping) et appliquez le correctif de votre branche.
2. Instances auto-hébergées exposées : priorisez, un contournement de politique de sécurité sur un outil de collaboration touche potentiellement canaux privés, permissions et données d'équipe.
3. Déploiements figés / air-gap : planifiez la montée de version manuellement, c'est là que le retard s'installe.
4. Vérifiez vos intégrations et webhooks après mise à jour, pour confirmer qu'aucune règle d'accès n'a été altérée.

Pour mettre en perspective

C'est le deuxième avis CERT-FR sur Mattermost Server en une dizaine de jours, après l'AVI-1344 du 21 octobre (correctifs 11.7.12, 11.8.6, 11.10.3, 11.11.2). La cadence de sécurité de Mattermost est soutenue et couvre plusieurs branches en parallèle : pour un outil qui centralise les échanges internes et sert souvent de plan de collaboration aux équipes sécurité elles-mêmes, chaque release mineure mérite d'être suivie.