Mattermost Server : correctifs de sécurité relayés par le CERT-FR
Mattermost corrige plusieurs failles sur quatre branches (11.7.12, 11.8.6, 11.10.3, 11.11.2). Le CERT-FR relaie dans l'AVI-1344. Détails sous embargo : mettez à jour.
Articles tagués: #cert-fr
PHP2Shell : deux RCE critiques (CVSS 9.2), correctifs publiés
PHP a publié en urgence 8.5.12, 8.4.27, 8.3.36 et 8.2.35 pour CVE-2026-109618 et CVE-2026-109619, deux RCE notées 9.2. Le CERT-FR a émis l'alerte CERTFR-2026-ALE-014.
Roundcube 1.6.20 et 1.7.5 corrigent plusieurs failles, dont une RCE
Roundcube publie 1.6.20 et 1.7.5. Le CERT-FR (AVI-1340) liste exécution de code à distance, SSRF, XSS, CSRF et contournement de politique. Mettez à jour les installations exposées.
GitLab : RCE non authentifiée en CVSS 10 (CVE-2026-97229)
Le CERT-FR publie l'avis AVI-1294 : 24 vulnérabilités dans GitLab, dont la CVE-2026-97229, une exécution de code à distance non authentifiée notée 10/10. Correctifs 19.4.2, 19.3.4 et 19.2.8.
Siemens SICAM 8 : firmware signature bypass et DoS (CERTFR-2026-AVI-0860)
Le CERT-FR répercute Siemens SSA-229470 : bypass de vérification de signature firmware sur SICAM A8000 (CPCI85/SICORE) et DoS via interface de debug HTTP. CVE-2026-54798, CVE-2026-54799 et plus.
PAN-OS : 13 CVE dont un buffer overflow RCE dans le User-ID TSA (CERTFR-2026-AVI-0853)
CERT-FR répercute le 9 juillet le palier Palo Alto Networks du 8 juillet : 13 vulnérabilités, dont CVE-2026-0288, un dépassement de tampon dans le User-ID TSA classé urgence maximale.
Traefik 2.11.52 / 3.6.23 / 3.7.7 : contournement d'auth ReplacePathRegex (CERTFR-2026-AVI-0851)
Le CERT-FR répercute le palier Traefik du 9 juillet : trois GHSA colmatés dans 2.11.52, 3.6.23 et 3.7.7, dont un contournement d'auth ReplacePathRegex (CVSS 7,8).
GitLab 19.1.2 / 19.0.4 / 18.11.7 : huit CVE dont un XSS EE 8,7 (CERTFR-2026-AVI-0850)
Le CERT-FR répercute le palier GitLab du 8 juillet : huit vulnérabilités corrigées, dont CVE-2026-6896, un XSS côté EE côté rendu de tableau de vulnérabilités.
HPE Aruba : quatre CVE sur Instant On et Private 5G Core (AVI-0846)
Le CERT-FR publie l'avis 0846 (8 juillet) sur quatre vulnérabilités des switches Instant On 1830/1930/1960 et de Private 5G Core : DNS, confidentialité, contournement de politique.
PHP CVE-2026-14355 : corruption tas dans openssl_encrypt (CERTFR-2026-AVI-0843)
Le CERT-FR répercute la livraison PHP du 2 juillet. openssl_encrypt en mode AES-WRAP-PAD écrit hors buffer et corrompt le tas. Toutes les branches supportées sont concernées.
Roundcube 1.6.17 / 1.7.2 corrigent un XSS zero-click en texte brut (CERTFR-2026-AVI-0835)
Le CERT-FR répercute la sortie de Roundcube 1.6.17 et 1.7.2 : XSS stocké zero-click en texte brut (CVE-2026-54433) et XSS via type MIME (CVE-2026-54432). Mettez à jour.
SPIP 4.4.16 corrige SQLi, XSS et fuite de données (CERTFR-2026-AVI-0838)
Le CERT-FR publie l'avis 0838 : SPIP antérieur à 4.4.16 cumule injection SQL, XSS et atteinte à la confidentialité des données. Mettez à jour.
ClamAV 1.5.3 et 1.4.5 corrigent sept CVE, CERT-FR publie AVI-0824
ClamAV publie le 1er juillet les versions 1.5.3 et 1.4.5, sept CVE dans les parseurs PE, exFAT, ALZ, 7z et DMG. CERT-FR répercute dans AVI-0824. Aucun contournement selon Cisco.
Traefik 3.7.6 corrige trois CVE, dont un bypass ForwardAuth CVSS 9.1
Traefik 3.7.6 et 2.11.51 (30 juin) corrigent CVE-2026-54763 — spoofing d'identité ForwardAuth via headers underscore, CVSS 9.1. CERT-FR a publié l'avis AVI-0823 le 1er juillet.
Apache Tomcat : CERT-FR AVI-0817 relaie quatre CVE, dont un contournement de contraintes de sécurité
Le CERT-FR relaie le lot Tomcat du 29 juin 2026 : quatre CVE dont CVE-2026-55956 (contournement des contraintes de sécurité, servlet par défaut). Correctifs en 9.0.119, 10.1.56, 11.0.23.
CERTFR-2026-AVI-0822 : six CVE Citrix NetScaler, fuite mémoire SAML
Le CERT-FR publie l'avis CERTFR-2026-AVI-0822 sur le bulletin Citrix CTX696604 : six CVE NetScaler ADC/Gateway, dont CVE-2026-8451, une fuite mémoire pré-auth sur le point SAML.
Stormshield SMC 3.9.2 corrige un lot OpenSSL/PostgreSQL (CERTFR-2026-AVI-0816)
Le CERT-FR relaie le bulletin Stormshield 2026-012 : cinq CVE OpenSSL et PostgreSQL embarquées dans SMC, correctif en 3.9.2. RCE, confidentialité et intégrité listées.
Keycloak 26.6.4 corrige huit CVE, CERT-FR publie l'avis AVI-0815
Keycloak 26.6.4 du 26 juin patche huit CVE — dont CVE-2026-11800 (bypass JWT, 8.1) et CVE-2026-9800 (Policy Enforcer URI, 8.1). CERT-FR a publié l'avis AVI-0815 le 29 juin.
Asterisk corrige six CVE (CERTFR-2026-AVI-0805) : RCE conditionnelle, heap-UAF PJSIP
Le CERT-FR relaie le 25 juin six avis Asterisk. RCE conditionnelle via ARI WebSocket, heap-use-after-free PJSIP, bypass live_dangerously. Patchs en 20.20.1, 21.12.3, 22.10.1, 23.4.1.
CPython : CERTFR-2026-AVI-0800 — trois CVE dont une évasion tarfile
Le CERT-FR répercute le palier CPython du 23 juin : un DoS tarfile, une évasion de répertoire (correctif incomplet de CVE-2025-4330) et une injection configparser.
GitLab corrige 13 failles (CERTFR-2026-AVI-0799) : XSS critique et fuite Duo Workflows
Le CERT-FR répercute le palier GitLab du 24 juin : versions 19.1.1, 19.0.3 et 18.11.6 colmatent 13 vulnérabilités, dont trois critiques côté EE.
Tenable Identity Exposure : RCE corrigée en 3.93.5, avis CERTFR-2026-AVI-0796
CERT-FR répercute le 24 juin l'avis Tenable TNS-2026-16 : RCE, SQLi et DoS sur Identity Exposure < 3.93.5. À patcher en priorité sur les déploiements AD tier-0.
Moodle : RCE via repository Google Drive et SQLi auth_db (CERTFR-2026-AVI-0794)
ANSSI publie CERTFR-2026-AVI-0794 le 22 juin : MSA-26-0005 (SQLi auth_db) et MSA-26-0006 (RCE Google Drive) corrigés. Versions 5.2.1 / 5.1.5 / 5.0.8 / 4.5.12.
PaperCut Print Deploy CVE-2026-6645 : élévation locale SYSTEM via PATH hijacking
CERTFR-2026-AVI-0789 (mis à jour le 22 juin) couvre CVE-2026-6645, une élévation de privilèges locale à SYSTEM dans pc-printer-updater.exe. Correctif intégré au client Print Deploy v2699.
Traefik CVE-2026-54762 : fail-open BasicAuth via Ingress NGINX (3.7.5)
CERTFR-2026-AVI-0785 (19 juin) couvre CVE-2026-54762 dans le provider Kubernetes Ingress NGINX de Traefik : un Secret absent fait publier la route en clair. Correctif 3.7.5.
Cisco ISE CVE-2026-20181 : RCE root sur 3.5, patch intégré reporté à août
CERTFR-2026-AVI-0772 (18 juin) couvre CVE-2026-20181 (RCE authentifié CVSS 9.1, Critical) et CVE-2026-20190 (divulgation creds, CVSS 7.5). Branche 3.5 sans correctif intégré avant août.
Stormshield SNS 5 corrige une fuite mémoire OpenSSL (CERTFR-2026-AVI-0723)
Stormshield publie SNS 5.0.6 pour intégrer le correctif OpenSSL CVE-2026-31790. RSASVE laisse fuiter de la mémoire non initialisée vers un pair malveillant. Bulletin 2026-011.
GLPI 11.0.7 et 10.0.25 corrigent 13 CVE (CERTFR-2026-AVI-0675)
GLPI publie un cycle de patch couvrant 13 vulnérabilités dont 4 hautes, à l'origine de XSS stockés, suppressions arbitraires et contournements. Avis CERT-FR du 2 juin.
Ivanti Neurons for ITSM : escalade admin CVE-2026-9614, avis CERT-FR
L'avis CERTFR-2026-AVI-0677 (2 juin 2026) couvre une élévation de privilèges authentifiée vers admin sur Neurons for ITSM, cloud et on-prem. CVSS 8.8. Patch obligatoire pour les déploiements internes.
GitLab 19.0.1, 18.11.4 et 18.10.7 corrigent 7 CVE (CERTFR-2026-AVI-0658)
GitLab publie un cycle de patch de sécurité couvrant sept CVE, dont CVE-2026-4868 (8,2) sur l'identité des workflows Duo AI. Avis CERT-FR du 28 mai.
Veeam Backup & Replication 13.0.2.29 corrige CVE-2026-32997 (CERTFR-2026-AVI-0652)
Veeam patche en urgence VBR 13.0.2.29 : écriture de fichier authentifiée sur l'appliance Linux (8,6) et élévation de privilèges locale sur l'agent Windows (7,3). Avis CERT-FR du 27 mai.
Roundcube 1.6.16 et 1.7.1 corrigent une injection SQL pré-auth (CERTFR-2026-AVI-0644)
Le CERT-FR relaie l'avis Roundcube du 24 mai : SQLi pré-auth dans virtuser_query, suppression de fichiers par poisoning Redis/Memcache, injection de code LDAP. Mettez à jour 1.6.16 / 1.7.1.