Alertes de sécurité majeures sur Progress Telerik : risques critiques et correctifs urgents

Le Centre d'expertise gouvernemental de réponse aux incidents de sécurité informatique (CERT-FR) a publié un avis d'urgence concernant plusieurs vulnérabilités critiques identifiées dans Progress Telerik UI pour AJAX, un framework largement déployé pour le développement d'applications web.

Risques identifiés et vecteurs d'attaque

Les failles détectées exposent les systèmes à des menaces multiples, notamment :

• Exécution de code arbitraire à distance, permettant une prise de contrôle complète des serveurs ciblés ;
• Atteinte à la confidentialité des données, avec risque de fuite d'informations sensibles ;
• Déni de service à distance, paralysant les services exposés ;
• Contournement des politiques de sécurité, facilitant l'escalade des privilèges ;
• Falsification de requêtes côté serveur (SSRF), ouvrant la porte à des attaques en profondeur ;
• Atteinte à l'intégrité des données, avec possibilité de modification frauduleuse des contenus.

Systèmes concernés et versions vulnérables

Les versions antérieures à 2026.2.708 (2026 Q2 SP1) de Progress Telerik UI pour AJAX sont affectées par ces vulnérabilités. Les organisations utilisant ce framework doivent procéder à une mise à jour immédiate pour neutraliser les risques.

Mesures correctives et recommandations

Le CERT-FR recommande aux administrateurs et responsables sécurité de :

• Appliquer sans délai les correctifs publiés par l'éditeur Progress, disponibles dans le bulletin de sécurité du 22 juillet 2026 ;
• Vérifier l'absence de traces d'exploitation malveillante sur les systèmes concernés ;
• Renforcer les contrôles d'accès et les mécanismes de journalisation pour détecter toute activité suspecte ;
• Sensibiliser les équipes techniques aux risques liés à ces vulnérabilités et aux bonnes pratiques de réponse aux incidents.

Documentation et références techniques

Les détails techniques des vulnérabilités, ainsi que les correctifs associés, sont disponibles dans les bulletins de sécurité Progress et les enregistrements CVE correspondants. Les équipes en charge de la cybersécurité sont invitées à consulter ces ressources pour une analyse approfondie et une application ciblée des correctifs.

Source : ANSSI / CERT-FR — Alertes & avis