Bulletin CERT-FR : vulnérabilités critiques de la semaine écoulée

Le CERT-FR publie son bulletin d'actualité hebdomadaire, identifiant les vulnérabilités significatives détectées entre le 29 juin et le 5 juillet 2026. Ce document ne se substitue pas à l'analyse exhaustive des avis et alertes publiés, mais en souligne les criticités pour orienter les priorités de correction.

Toutes les vulnérabilités signalées par le CERT-FR doivent être intégrées dans une analyse de risques afin de déterminer leur impact potentiel sur les systèmes d'information. Lorsqu'un risque est avéré, un plan d'action incluant l'application des correctifs doit être mis en œuvre sans délai. Les avis des éditeurs restent la référence pour obtenir les correctifs adaptés.

Vulnérabilités critiques de la semaine

Le tableau ci-dessous recense les vulnérabilités jugées critiques, classées par éditeur et produit concerné. Les scores CVSS (Common Vulnerability Scoring System) indiquent leur gravité, tandis que les types de vulnérabilités et les dates de publication précisent leur contexte.

• Adobe ColdFusion :
  • CVE-2026-48282 (CVSS 10) – Exécution de code arbitraire à distance, contournement de politique de sécurité
  • CVE-2026-48281 (CVSS 10) – Exécution de code arbitraire à distance, contournement de politique de sécurité
  • CVE-2026-48277 (CVSS 10) – Exécution de code arbitraire à distance, contournement de politique de sécurité
  • CVE-2026-48276 (CVSS 10) – Exécution de code arbitraire à distance
  • CVE-2026-48283 (CVSS 10) – Exécution de code arbitraire à distance
  • CVE-2026-48315 (CVSS 9,3) – Exécution de code arbitraire à distance, contournement de politique de sécurité
  • CVE-2026-48313 (CVSS 9,3) – Atteinte à la confidentialité des données, contournement de politique de sécurité
• Mozilla Firefox :
  • CVE-2026-14241 (CVSS 9,8) – Exécution de code arbitraire
• Apple (iPadOS, macOS, iPhone OS) :
  • CVE-2026-39868 (CVSS 9,1) – Déni de service
• Apache Tomcat :
  • CVE-2026-53434 (CVSS 9,1) – Contournement de politique de sécurité
  • CVE-2026-55276 (CVSS 9,1) – Contournement de politique de sécurité
• Simple-Help (SimpleHelp) :
  • CVE-2026-48558 (CVSS 9,5) – Contournement de politique de sécurité
• Microsoft SharePoint Server :
  • CVE-2026-45659 (CVSS 8,8) – Exécution de code arbitraire à distance
• MISP-Project (MISP) :
  • CVE-2026-56423 (CVSS 9,4) – Contournement de politique de sécurité

Autres vulnérabilités notables

Le bulletin recense également des vulnérabilités présentant un niveau de criticité élevé, dont certaines font déjà l'objet d'exploitations en conditions réelles ou disposent de codes d'exploitation publics.

• OSGeo GeoServer :
  • CVE-2025-52465 (CVSS 7,2) – Atteinte à la confidentialité des données

Rappel des publications du CERT-FR

Durant la période du 29 juin au 5 juillet 2026, le CERT-FR a émis 24 avis et alertes couvrant des vulnérabilités dans des produits variés, dont :

• Microsoft Edge
• Microsoft Azure Linux
• Mattermost Server
• HAProxy
• KeyCloak
• Stormshield Management Center
• Synology MailPlus Server
• Citrix
• Traefik
• ClamAV
• Cisco
• Elastic
• Mozilla Thunderbird
• CPython
• Google Chrome
• FreeBSD
• Noyau Linux (Ubuntu, Red Hat, SUSE)
• IBM

Ces publications complètent l'analyse des risques et doivent être prises en compte dans le cadre d'une stratégie globale de cybersécurité.

Source : ANSSI / CERT-FR — Alertes & avis