Bulletin d'actualité du CERT-FR Objet : Bulletin d'actualité CERTFR-2026-ACT-045 Imprimer Gestion du document Référence CERTFR-2026-ACT-045 Titre Bulletin d'actualité CERTFR-2026-ACT-045 Date de la première version26 octobre 2026 Date de la dernière version26 octobre 2026 Source(s) Une gestion de version détaillée se trouve à la fin de ce document. Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information. Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs. Vulnérabilités significatives de la semaine 43 Tableau récapitulatif : Vulnérabilités critiques du 19/10/26 au 25/10/26 Editeur Produit Identifiant CVE CVSS (source) Type de vulnérabilité Date de publication Exploitabilité (Preuve de concept publique) Avis Cert-FR Avis éditeur HPE Aruba Networking AOS CVE-2026-79844 10 (NVD) Exécution de code arbitraire à distance, Contournement de la politique de sécurité 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79846 10 (NVD) Exécution de code arbitraire à distance 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79847 10 (NVD) Exécution de code arbitraire à distance 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79848 10 (NVD) Exécution de code arbitraire à distance, Injection SQL (SQLi) 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79849 10 (NVD) Exécution de code arbitraire à distance, Injection SQL (SQLi) 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79850 10 (NVD) Exécution de code arbitraire à distance, Contournement de la politique de sécurité 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79851 10 (NVD) Exécution de code arbitraire à distance 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79852 9.8 (NVD) Exécution de code arbitraire à distance, Injection SQL (SQLi) 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79853 9.8 (NVD) Exécution de code arbitraire à distance, Atteinte à la confidentialité des données 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79854 9.8 (NVD) Exécution de code arbitraire à distance, Injection SQL (SQLi) 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79855 9.8 (NVD) Élévation de privilèges, Contournement de la politique de sécurité 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79856 9.8 (NVD) Atteinte à la confidentialité des données, Contournement de la politique de sécurité 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79857 9.8 (NVD) Exécution de code arbitraire à distance 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79858 9.8 (NVD) Exécution de code arbitraire à distance, Atteinte à la confidentialité des données, Injection SQL (SQLi) 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79859 9.8 (NVD) Exécution de code arbitraire à distance 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79860 9.8 (NVD) Exécution de code arbitraire à distance 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79861 9.8 (NVD) Exécution de code arbitraire à distance 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt Cisco Unified Communications Manager, Unified Communications Manager IM & Presence Service, Unity Connection CVE-2026-76473 9.8 (NVD) Contournement de la politique de sécurité 21/10/2026 Pas d'information CERTFR-2026-AVI-1360 https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-voice-hardening-twgbH9e3 Cisco Unified Communications Manager, Unified Communications Manager IM & Presence Service, Unity Connection CVE-2026-76474 9.8 (NVD) Contournement de la politique de sécurité 21/10/2026 Pas d'information CERTFR-2026-AVI-1360 https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-voice-hardening-twgbH9e3 Cisco TelePresence VCS CVE-2026-76466 9.8 (NVD) Exécution de code arbitraire à distance, Contournement de la politique de sécurité 21/10/2026 Pas d'information CERTFR-2026-AVI-1360 https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-vcs-static-cred-hr7EWZ8t SolarWinds Observability Self-Hosted CVE-2026-28324 9.8 (NVD) Exécution de code arbitraire à distance 20/10/2026 Pas d'information CERTFR-2026-AVI-1364 https://www.solarwinds.com/trust-center/security-advisories/cve-2026-28328 HPE Aruba Networking AOS CVE-2026-79862 9.6 (NVD) Exécution de code arbitraire 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79863 9.6 (NVD) Exécution de code arbitraire 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79864 9.6 (NVD) Exécution de code arbitraire 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79865 9.6 (NVD) Exécution de code arbitraire à distance, Exécution de code arbitraire 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79866 9.6 (NVD) Atteinte à la confidentialité des données 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79867 9.6 (NVD) Exécution de code arbitraire, Contournement de la politique de sécurité 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79868 9.6 (NVD) Atteinte à la confidentialité des données, Contournement de la politique de sécurité 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79869 9.6 (NVD) Exécution de code arbitraire, Contournement de la politique de sécurité 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79870 9.6 (NVD) Atteinte à la confidentialité des données, Contournement de la politique de sécurité 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79871 9.6 (NVD) Atteinte à la confidentialité des données 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79872 9.4 (NVD) Exécution de code arbitraire à distance 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79873 9.3 (NVD) Atteinte à la confidentialité des données, Contournement de la politique de sécurité 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79874 9.3 (NVD) Atteinte à la confidentialité des données, Contournement de la politique de sécurité 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79875 9.3 (NVD) Atteinte à la confidentialité des données, Contournement de la politique de sécurité 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt HPE Aruba Networking AOS CVE-2026-79876 9.3 (NVD) Atteinte à la confidentialité des données 22/10/2026 Pas d'information CERTFR-2026-AVI-1369 https://csaf.arubanetworking.hpe.com/2026/hpe_networking_-_hpesbnw05162.txt Cisco Unified Communications Manager, Unified Communications Manager IM & Presence Service, Unity Connection CVE-2026-76475 9.3 (NVD) Contournement de la politique de sécurité 21/10/2026 Pas d'information CERTFR-2026-AVI-1360 https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-voice-hardening-twgbH9e3 F5 NGINX Open Source, NGINX Plus CVE-2026-15176 9.2 (NVD) Exécution de code arbitraire à distance, Déni de service à distance, Contournement de la politique de sécurité 14/10/2026 Pas d'information CERTFR-2026-AVI-1341 https://my.f5.com/manage/s/article/K000163408https://my.f5.com/manage/s/article/K000162416 F5 NGINX Open Source, NGINX Plus CVE-2026-93479 9.2 (NVD) Exécution de code arbitraire à distance, Déni de service à distance, Contournement de la politique de sécurité 14/10/2026 Pas d'information CERTFR-2026-AVI-1341 https://my.f5.com/manage/s/article/K000163408https://my.f5.com/manage/s/article/K000162607 F5 NGINX Open Source, NGINX Plus CVE-2026-97205 9.2 (NVD) Exécution de code arbitraire à distance, Déni de service à distance, Contournement de la politique de sécurité 14/10/2026 Pas d'information CERTFR-2026-AVI-1341 https://my.f5.com/manage/s/article/K000163408https://my.f5.com/manage/s/article/K000162608 SolarWinds Serv-U CVE-2026-28308 9.1 (NVD) Exécution de code arbitraire à distance 20/10/2026 Pas d'information CERTFR-2026-AVI-1364 https://www.solarwinds.com/trust-center/security-advisories/cve-2026-28329 Apache Tomcat CVE-2026-103119 9.1 (NVD) Atteinte à la confidentialité des données 12/10/2026 Pas d'information CERTFR-2026-AVI-1358 https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.27 Apache Tomcat CVE-2026-101356 9.1 (NVD) Atteinte à la confidentialité des données 12/10/2026 Pas d'information CERTFR-2026-AVI-1358 https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.27https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.61https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.123 Apache Tomcat CVE-2026-101296 9.1 (NVD) Atteinte à la confidentialité des données 12/10/2026 Pas d'information CERTFR-2026-AVI-1358 https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.27https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.61https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.123 Cisco Secure Firewall Threat Defense CVE-2026-20043 9 (NVD) Atteinte à l'intégrité des données 21/10/2026 Pas d'information CERTFR-2026-AVI-1360 https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-hardening-snort3-ybgmhTQe Rappel des alertes CERT-FR [Màj] Multiples vulnérabilités dans PHP Le 20 octobre, PHP a publié une communication concernant deux vulnérabilités critiques.
Le 21 octobre, des correctifs de sécurité sont disponibles sur le site de l'éditeur. Le 23 octobre, PHP a publié un avis de sécurité concernant une nouvelle vulnérabilité (CVE-2026-115560). Cette dernière permet une exécution de code à distance.
Cependant, son exploitation reste peu probable. L'éditeur a prévu de corriger cette faille dans une futur mise à jour. Le 26 octobre, le CERT-FR a connaissance de preuves de concept et de tentatives d'exploitation pour les vulnérabilités CVE-2026-109618 et CVE-2026-109619 pour des déploiements spécifiques de PHP.
Pour rappel, le CERT-FR incite à la vigilance et rappelle que le langage PHP est utilisé dans de nombreux produits. Liens : Alerte de sécurité CERTFR-2026-ALE-014 du 21 octobre 2026Avis CERT-FR CERTFR-2026-AVI-1359 du 21 octobre 2026Bulletin de sécurité PHP GHSA-w8hw-w9fx-j79wBulletin de sécurité PHP GHSA-6wmf-4rv5-p3rp Autres vulnérabilités Tableau récapitulatif : Editeur Produit Identifiant CVE CVSS Type de vulnérabilité Date de publication Exploitabilité (Preuve de concept publique) Avis éditeur Arista Velocloud Orchestrator CVE-2026-114625 9.4 Élévation de privilèges, Atteinte à la confidentialité des données 22/10/2026 Exploitée https://www.arista.com/en/support/advisories-notices/security-advisory/24838-security-advisory-0199 Collabora Online Built-in CODE Server CVE-2026-110447 9.2 Exécution de code arbitraire à distance 14/10/2026 Exploitée https://github.com/CollaboraOnline/online/security/advisories/GHSA-g3vx-3m76-fghh Plex Media Server CVE-2026-96656 8.6 Atteinte à la confidentialité des données 23/09/2026 Exploitée https://forums.plex.tv/t/plex-media-server/30447/711 E-Guardian Siteguard CVE-2026-106931 8.5 Exécution de code arbitraire 14/10/2026 Exploitée https://jvn.jp/en/jp/JVN88474777/ Siemens Software Center CVE-2026-110936 8.4 Exécution de code arbitraire 15/10/2026 Exploitée https://cert-portal.siemens.com/productcert/html/ssa-580366.html Plex Media Server CVE-2026-96654 6.9 Atteinte à la confidentialité des données 23/09/2026 Exploitée https://forums.plex.tv/t/plex-media-server/30447/711 Plex Media Server CVE-2026-96652 5.3 Falsification de requêtes côté serveur (SSRF) 23/09/2026 Exploitée https://forums.plex.tv/t/plex-media-server/30447/711 Plex Media Server CVE-2026-96655 5.3 Atteinte à la confidentialité des données 23/09/2026 Exploitée https://forums.plex.tv/t/plex-media-server/30447/711 Apusthemes Superio CVE-2024-12213 9.8 Élévation de privilèges 12/02/2025Code d'exploitation publichttps://themeforest.net/item/superio-job-board-wordpress-theme/32180231 Gestion détaillée du document Date Description 26 octobre 2026 Version initiale