Bulletin d'actualité du CERT-FR
Objet : Bulletin d'actualité CERTFR-2026-ACT-043
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs. Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information. Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 41
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS (source) | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis Cert-FR | Avis éditeur |
|---|---|---|---|---|---|---|---|---|
| Atlassian | Confluence, Jira | CVE-2026-21589 | 9.3 (NVD) | Atteinte à la confidentialité des données | 05/10/2026 | Exploitée | CERTFR-2026-AVI-1264 | https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html |
| GitLab | AI Gateway | CVE-2026-90970 | 9.9 (NVD) | Exécution de code arbitraire à distance | 02/10/2026 | Pas d'information | CERTFR-2026-AVI-1262 | https://docs.gitlab.com/releases/patches/other-patches/patch-release-gitlab-ai-gateway-19-4-1-released/ |
| Mozilla | Firefox | CVE-2026-106016 | 9.8 (NVD) | Contournement de la politique de sécurité | 06/10/2026 | Pas d'information | CERTFR-2026-AVI-1272 | https://www.mozilla.org/en-US/security/advisories/mfsa2026-104/ |
| HPE Aruba Networking | ClearPass Policy Manager | CVE-2026-79801 | 9.8 (NVD) | Exécution de code arbitraire à distance, Atteinte à l'intégrité des données | 06/10/2026 | Pas d'information | CERTFR-2026-AVI-1277 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05158.txt |
| HPE Aruba Networking | ClearPass Policy Manager | CVE-2026-79805 | 9.8 (NVD) | Atteinte à la confidentialité des données, Atteinte à l'intégrité des données | 06/10/2026 | Pas d'information | CERTFR-2026-AVI-1277 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05158.txt |
| HPE Aruba Networking | AOS | CVE-2026-76743 | 9.8 (NVD) | Contournement de la politique de sécurité | 06/10/2026 | Pas d'information | CERTFR-2026-AVI-1277 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05156.txt |
| HPE Aruba Networking | AOS | CVE-2026-76742 | 9.8 (NVD) | Contournement de la politique de sécurité | 06/10/2026 | Pas d'information | CERTFR-2026-AVI-1277 | https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05156.txt |
| Apache | Struts | CVE-2026-104711 | 9.8 (NVD) | Exécution de code arbitraire à distance, Exécution de code arbitraire, Contournement de la politique de sécurité | 02/10/2026 | Pas d'information | CERTFR-2026-AVI-1290 | https://cwiki.apache.org/confluence/display/WW/S2-075 |
| Veeam | Veeam Backup & Replication | CVE-2025-64393 | 9.4 (NVD) | Exécution de code arbitraire à distance | 06/10/2026 | Pas d'information | CERTFR-2026-AVI-1278 | https://www.veeam.com/kb4934 |
Autres vulnérabilités
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis éditeur |
|---|---|---|---|---|---|---|---|
| Strapi | Strapi | CVE-2023-22894 | 7.2 | Atteinte à la confidentialité des données | 19/04/2023 | Exploitée | https://strapi.io/blog/security-disclosure-of-vulnerabilities-cve |
| Sonicwall | Secure Mobile Access | CVE-2026-102255 | 10 | Falsification de requêtes côté serveur (SSRF) | 07/10/2026 | Pas d'information | https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0017 |
| Sonicwall | Secure Mobile Access | CVE-2026-102256 | 7.8 | Exécution de code arbitraire à distance, Contournement de la politique de sécurité | 07/10/2026 | Pas d'information | https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0017 |
| Sonicwall | Secure Mobile Access | CVE-2026-102257 | 7.2 | Exécution de code arbitraire à distance | 07/10/2026 | Pas d'information | https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0017 |
| Sonicwall | Secure Mobile Access | CVE-2026-102258 | 6.1 | Injection de code indirecte à distance (XSS) | 07/10/2026 | Pas d'information | https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0017 |
Gestion détaillée du document
| Date | Description |
|---|---|
| 12 octobre 2026 | Version initiale |