Aller au contenu
fildactu .fr
TECH1 source5 min de lecture

Bulletin d'actualité CERTFR-2026-ACT-023 (26 mai 2026)

Illustration — Tech
PDC server room.jpg — Esquilo, CC BY-SA 3.0, via Wikimedia Commons.

ANSSI — Licence Ouverte / Etalab 2.0. Publication d'origine, 26 mai 2026.

Agrégé automatiquement — Responsable de publication : — Mis à jour le

L'essentiel

  • Le 21 mai 2026, SonicWall a mis à jour son avis de sécurité du 7 janvier 2025 pour indiquer que pour les utilisateurs des boîtiers GEN6 versions 6.5.5.1-6n, l'application seule de la version corrective n'était pas suffisante.
  • Dans la période du 18 mai 2026 au 24 mai 2026, le CERT-FR a émis les publications suivantes : Dans la période du 18 mai 2026 au 24 mai 2026, le CERT-FR a mis à jour les publications suivantes :

Phrases relevées telles quelles dans le texte officiel reproduit ci-dessous (ANSSI, Licence Ouverte / Etalab 2.0).

Texte officiel intégral

Ci-dessous, le corps complet de la publication de ANSSI, reproduit sans modification. La Licence Ouverte / Etalab 2.0 en autorise expressément la reproduction, à la seule condition d'en mentionner la paternité.

Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs. Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information. Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.

CVE-2026-9082 : Vulnérabilité dans Drupal

La vulnérabilité CVE-2026-9082 permet une injection SQL (SQLi) sur les applications vulnérables qui utilisent PostgreSQL comme système de gestion de base de données. Des codes d'attaques sont publiquement disponibles pour cette vulnérabilité et celle-ci est activement exploitée.

Multiples vulnérabilités dans le noyau Linux

Ces dernières semaines, de nombreuses vulnérabilités permettant une élévation de privilège ont été découvertes dans le noyau Linux. Des preuves de concept sont disponibles publiquement et elles sont réputées activement exploitées. Certains correctifs sont disponibles, mais pas forcément pour toutes les distributions ainsi que pour les produits qui utilisent Linux comme système d'exploitation.

  • Dirty Decrypt / Dirty CBC : pas d'identifiant CVE officiel, mais possiblement lié à la vulnérabilité CVE-2026-31635

CVE-2024-12802 : Vulnérabilité dans les VPN Sonicwall

La vulnérabilité CVE-2024-12802 permet un contournement d'authentification. Le 21 mai 2026, SonicWall a mis à jour son avis de sécurité du 7 janvier 2025 pour indiquer que pour les utilisateurs des boîtiers GEN6 versions 6.5.5.1-6n, l'application seule de la version corrective n'était pas suffisante. En effet, des modifications doivent être effectuées à la configuration du serveur LDAP ainsi qu'à la liste des utilisateurs (cf. avis de sécurité SNWLID-2025-0001 de l'éditeur).

Attaques par la chaîne d’approvisionnement et propagations par le groupe d'attaquants TeamPCP

TeamPCP est un groupe cybercriminel actif depuis au moins septembre 2025, connu pour l’exfiltration et la vente de bases de données et d'identifiants valides. Les opérateurs du groupe sont motivés par le gain financier et sont donc opportunistes dans le choix de leurs victimes. Ils recherchent également la notoriété auprès de l’écosystème cybercriminel ce qui pourrait expliquer la compromission d’entreprises IT majeures telles que GitHub.

Depuis la fin avril 2026, le groupe se distingue par plusieurs campagnes d'attaques par la chaîne d’approvisionnement et, en particulier, par la compromission de paquets NPM, PyPI et GitHub populaires.

Lorsqu'un paquet compromis est installé, un code malveillant est déployé. Le dernier en date, le ver mini Shai-Hulud, cherche à identifier de nombreux secrets sur la machine infectée (Github, NPM, clés SSH, Kubernetes, Claude Code, Azure, AWS, bases de données, etc.) puis à les exfiltrer de manière chiffrée. Si le ver récupère un jeton Github ou NPM, il cherche à s'injecter dans les paquets du développeur victime afin de se propager.

  • lightning==2.6.2 or lightning==2.6.3 (PyPI) La semaine dernière, plus de trois cents paquets liés à @antv et maintenus par le compte atool ont été compromis [2]. Le ver implémente plusieurs mécanismes de persistance dont un script qui lance un daemon qui intègre un mécanisme de destruction via la commande rm -rf ~/. s'il identifie une modification des secrets volés. Le CERT-FR recommande donc de rechercher la présence de : paquets compromis, notamment dans les fichiers de dépendances (ex. package-lock.json, yarn.lock, pnpm-lock.yaml, requirements.txt, poetry.lock, etc.) ;

Des marqueurs sont présents dans les rapports [1], [2] et [3], ils n'ont cependant pas été pleinement qualifiés par l'ANSSI.

Rappel des publications émises

Dans la période du 18 mai 2026 au 24 mai 2026, le CERT-FR a émis les publications suivantes :

Dans la période du 18 mai 2026 au 24 mai 2026, le CERT-FR a mis à jour les publications suivantes :

Fin du texte officiel repris

Source :ANSSI, publié le — Licence Ouverte / Etalab 2.0.

Consulter la publication d'originehttps://www.cert.ssi.gouv.fr/actualite/CERTFR-2026-ACT-023/

Texte reproduit dans son intégralité. La mention de la source et de sa date de dernière mise à jour est la seule condition posée par la Licence Ouverte / Etalab 2.0 ; elle ne confère aucun caractère officiel à cette reprise et ne vaut ni reconnaissance ni caution de fildactu.fr par l'émetteur.

Sources

1 source (CERT-FR — Bulletins d'actualité). Chaque lien renvoie vers la publication d'origine — le contenu reste chez son éditeur.

Sujets liés

D'autres sujets de la rubrique Tech qui partagent des mots de ce titre.

Bulletin d'actualité CERTFR-2026-ACT-022 (18 mai 2026)10 août 2026 · 1 sourceBulletin d'actualité CERTFR-2026-ACT-034 (10 août 2026)10 août 2026 · 1 sourceBulletin d'actualité CERTFR-2026-ACT-033 (03 août 2026)3 août 2026 · 1 sourceBulletin d'actualité CERTFR-2026-ACT-02927 juillet 2026 · 1 sourceBulletin d'actualité CERTFR-2026-ACT-02429 juin 2026 · 1 sourceBulletin d'actualité CERTFR-2026-ACT-02026 mai 2026 · 1 source

Quand les sources ont-elles publié ?

Frise des dates de publication relevées sur ce sujet, du plus ancien au plus récent.

26 maiCERT-FR1er juinCERT-FR8 juinCERT-FR15 juinCERT-FR22 juinCERT-FR29 juinCERT-FR6 juilletCERT-FR13 juilletCERT-FR20 juilletCERT-FR27 juilletCERT-FR3 aoûtCERT-FR10 aoûtCERT-FR17 aoûtCERT-FR26 maiCERT-FR1er juinCERT-FR8 juinCERT-FR15 juinCERT-FR22 juinCERT-FR29 juinCERT-FR6 juilletCERT-FR13 juilletCERT-FR20 juilletCERT-FR27 juilletCERT-FR3 aoûtCERT-FR10 aoûtCERT-FR17 aoûtCERT-FR
Chronologie de la couverture — 13 dates de publication sur 84 jours. Le point plein marque la publication dont provient le texte officiel cité. Dates telles que déclarées par les émetteurs.

Comment ce sujet a-t-il été constitué ?

Les publications des sources suivies sur la rubrique Tech sont dédoublonnées par empreinte de titre sur une fenêtre de 72 heures, puis regroupées lorsqu'elles couvrent le même événement. Le compteur indique combien d'émetteurs distincts l'ont traité.

Le texte encadré plus haut est le corps de la publication de ANSSI, repris dans son intégralité et sans modification. La Licence Ouverte / Etalab 2.0 sous laquelle cet organisme diffuse ses informations concède « un droit non exclusif et gratuit de libre réutilisation », dont celui « de la communiquer, la reproduire, la copier » et « de l'exploiter à titre commercial », sous la seule réserve d'en « mentionner la paternité » — la source et la date de dernière mise à jour, portées en tête et en pied du texte, avec le lien vers l'original. La mise en page — chapô détaché, intertitres, sommaire — est de fildactu.fr ; les mots sont ceux de l'émetteur, et pas un n'a été ajouté, retiré ni reformulé. Pour la presse et pour toute source sans autorisation vérifiée, fildactu.fr ne conserve que le titre tel que publié, le nom de l'éditeur, le lien d'origine et la date.

Où ce sujet est-il rangé ?

Rubrique TechCyberattaques — TechTech — journal du 17 août 2026