Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs. Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information. Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 18
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS (source) | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis Cert-FR | Avis éditeur |
|---|---|---|---|---|---|---|---|---|
| Ubuntu | Ubuntu | CVE-2025-68263 | 9.8 (NVD) | Non spécifié par l'éditeur | 28/04/2026 | Pas d'information | CERTFR-2026-AVI-0522 | https://ubuntu.com/security/notices/USN-8185-2 |
| Microsoft | Edge | CVE-2026-6920 | 9.6 (NVD) | Contournement de la politique de sécurité | 28/04/2026 | Pas d'information | CERTFR-2026-AVI-0512 | https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-6920 |
| Chrome | CVE-2026-7333 | 9.6 (NVD) | Non spécifié par l'éditeur | 28/04/2026 | Pas d'information | CERTFR-2026-AVI-0506 | https://chromereleases.googleblog.com/2026/04/stable-channel-update-for-desktop_28.html |
|
| Microsoft | Edge | CVE-2026-6919 | 9.6 (NVD) | Non spécifié par l'éditeur | 24/04/2026 | Pas d'information | CERTFR-2026-AVI-0502 | https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-6919 |
Autres vulnérabilités
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis éditeur |
|---|---|---|---|---|---|---|---|
| Connectwise | Screenconnect | CVE-2024-1708 | 8.4 | Atteinte à la confidentialité des données | 19/02/2024 | Exploitée | https://www.connectwise.com/company/trust/security-bulletins/connectwise-screenconnect-23.9.8 |
| Microsoft | Windows 10 1607, Windows Server 2025, Windows Server 2012, Windows 11 26H1, Windows 10 21H2, Windows 10 22H2, Windows Server 2019, Windows 11 23H2, Windows Server 2022, Windows Server 2022 23H2, Windows 11 24H2, Windows 10 1809, Windows Server 2016, Windows 11 25H2 | CVE-2026-32202 | 4.3 | Contournement de la politique de sécurité | 14/04/2026 | Exploitée | https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-32202 |
| ProFTPD | ProFTPD | CVE-2026-42167 | 8.1 | Exécution de code arbitraire à distance | Code d'exploitation public | http://www.proftpd.org/docs/RELEASE_NOTES-1.3.10rc1 |
|
| Notepad++ | Notepad++ | CVE-2026-3008 | 6.6 | Déni de service à distance, Atteinte à la confidentialité des données | 19/04/2026 | Code d'exploitation public | https://github.com/notepad-plus-plus/notepad-plus-plus/issues/17960 |
CVE-2026-41940 : Vulnérabilité dans Cpanel
Le 28 avril 2026, l'éditeur Cpanel diffusait un correctif de sécurité affectant toutes les versions cPanel avec WHP ou WHP2 postérieures à 11.40. Cette vulnérabilité permet à un attaquant non authentifié d'accéder au panneau de contrôle. L'éditeur a fourni un script de détection permettant une recherche de compromission.La CISA l'a ajoutée à son catalogue des vulnérabilités réputées exploitées le 01 mai 2026.
Le CERT-FR a connaissance de tentatives d'exploitations.
Liens :
- https://support.cpanel.net/hc/en-us/articles/40073787579671-Security-CVE-2026-41940-cPanel-WHM-WP2-Security-Update-04-28-2026
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-41940
CVE-2026-31431 : Vulnérabilité dans les noyaux Linux
Le 30 avril 2026, un correctif de sécurité du noyau Linux a été publié pour la vulnérabilité CVE-2026-31431, dénommée "copy fail", permettant à un utilisateur une élévation de privilège.La CISA l'a ajoutée à son catalogue des vulnérabilités réputées exploitées le 01 mai 2026.
Liens :
- https://www.openwall.com/lists/oss-security/2026/04/29/25
- https://access.redhat.com/security/cve/cve-2026-31431#cve-details-mitigation
- https://ubuntu.com/security/notices/USN-8226-1
- https://security-tracker.debian.org/tracker/CVE-2026-31431
- https://www.suse.com/security/cve/CVE-2026-31431.html
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-31431
