NetApp StorageGRID : déni de service (CVE-2026-22056), CERT-FR AVI-1295
Le CERT-FR publie l'AVI-1295 : CVE-2026-22056, un déni de service à distance dans NetApp StorageGRID. Gravité faible (CVSS 2.3) en configuration non standard. Correctif par mise à niveau.
Le CERT-FR a publié le 13 octobre 2026 l'avis CERTFR-2026-AVI-1295, qui signale CVE-2026-22056, une vulnérabilité de déni de service à distance dans NetApp StorageGRID. Disons-le d'emblée : la gravité est faible. Le score CVSS 4.0 de base est de 2.3, et l'exploitation est conditionnée à une configuration non standard du produit. Ce n'est pas un correctif d'urgence — mais c'est à planifier.
La source primaire reste l'avis CERT-FR, qui renvoie au bulletin éditeur NTAP-20260828-0021 (security.netapp.com).
Ce qui est affecté
Selon l'avis CERT-FR :
- StorageGRID 12.1.x antérieures à 12.1.0.1
- StorageGRID antérieures à 12.0.0.8
Les bases de vulnérabilités tierces décrivent un périmètre un peu différent — un déclenchement limité aux déploiements en configuration personnalisée (custom) à partir de la branche 11.5, et non à toute installation par défaut. La faille est classée CWE-774 (allocation de descripteurs de fichiers ou de handles sans limite). Autrement dit : un épuisement de ressources, pas une exécution de code.
L'impact, sans l'enjoliver
Le risque retenu est un déni de service à distance. Un attaquant disposant d'un accès réseau peut provoquer l'indisponibilité du service. Les descriptions divergent sur les prérequis — certaines évoquent une complexité d'attaque élevée, d'autres un attaquant déjà en mesure d'influer sur l'environnement. Aucune des sources consultées ne fait état de code d'exploitation public ni d'exploitation observée. CVE-2026-22056 a été publiée le 28 août 2026 ; l'avis CERT-FR arrive plus tard, à la faveur du suivi ANSSI.
Que faire
- Vérifiez votre version StorageGRID. Si vous êtes en 12.1.x sous 12.1.0.1, ou sous 12.0.0.8, vous êtes dans le périmètre de l'avis.
- Planifiez la mise à niveau vers une version corrigée (12.1.0.1 / 12.0.0.8 selon votre branche). La remédiation passe par la mise à jour, pas par un contournement.
- Regardez votre configuration, pas seulement votre numéro de version. Les bases tierces pointent un déclenchement en configuration non standard : si votre déploiement est au plus près des réglages par défaut, le risque réel est plus faible que ce que le seul numéro de CVE suggère. Documentez cette évaluation pour la priorisation.
- Limitez l'exposition réseau de l'interface d'administration et des points d'accès StorageGRID aux seuls réseaux de gestion, le temps du déploiement.
Contexte
C'est une entrée de plus dans le flux régulier d'avis CERT-FR que la rédaction suit (après PostgreSQL JDBC ou MongoDB ces dernières semaines). L'angle que peu d'alertes relaient : ici, le seul numéro de version ne suffit pas à estimer le risque. Un DoS à CVSS 2.3 conditionné à une configuration personnalisée ne mérite pas le même traitement qu'un pré-auth RCE — et confondre les deux dans un plan de remédiation, c'est gaspiller des fenêtres de maintenance. Corrigez, mais à sa juste place dans la file.