Alertes de sécurité : multiples vulnérabilités critiques dans Nextcloud

Le Centre d’Expertise gouvernemental de Réponse et de Traitement des Attaques informatiques (CERT-FR) a publié un avis d’urgence relatif à des vulnérabilités multiples affectant les produits Nextcloud. Ces failles, identifiées dans plusieurs composants logiciels, exposent les systèmes à des risques majeurs pour la confidentialité des données ainsi qu’à des possibilités de contournement des politiques de sécurité.

Systèmes et versions concernés

• Module Mail :
  • Versions 3.5.x à 3.7.x antérieures à 3.7.25
  • Versions 4.x et 5.x antérieures à 5.5.16
  • Versions 5.6.x antérieures à 5.6.20
  • Versions 5.7.x antérieures à 5.7.13
• Serveur Nextcloud :
  • Versions 32.0.10 à 32.0.x antérieures à 32.0.12 (Nextcloud et Nextcloud Enterprise)
  • Versions 33.0.4 à 33.0.x antérieures à 33.0.6 (Nextcloud et Nextcloud Enterprise)
  • Versions 34.0.x antérieures à 34.0.1

Recommandations et actions à mener

Les organisations utilisant les versions impactées sont invitées à appliquer sans délai les correctifs publiés par l’éditeur. Ces mises à jour, disponibles via les bulletins de sécurité dédiés, permettent de corriger les vulnérabilités identifiées et de renforcer la posture de sécurité des infrastructures concernées.

Références techniques

Les vulnérabilités font l’objet de deux bulletins de sécurité distincts émis par Nextcloud, référencés GHSA-99gw-ww6p-f2rr et GHSA-vq3v-jv6f-6xp2. Les identifiants CVE associés sont CVE-2026-61527 et CVE-2026-61545.

Source : ANSSI / CERT-FR — Alertes & avis