Une faille critique ajoutée au catalogue KEV

Le Centre canadien pour la cybersécurité a officiellement intégré la vulnérabilité CVE-2026-123158 à son registre des menaces actives, communément appelé le catalogue KEV. Cette décision formelle intervient le 9 novembre 2026, soit quelques jours après l’identification initiale du problème le 5 novembre 2026. L’ajout au registre KEV signifie que cette faille est considérée comme suffisamment grave pour être exploitée activement par des cybercriminels ou des groupes d’attaquants avancés.

Les utilisateurs de la distribution OpenBSD doivent donc traiter cette alerte avec une extrême diligence, car le risque n’est plus théorique mais avéré et documenté par les autorités canadiennes en matière de cybersécurité.

La cible précise : OpenSSH versions obsolètes

L’objet de cette campagne de sensibilisation concerne spécifiquement le logiciel OpenSSH, un composant essentiel pour la gestion sécurisée des connexions à distance sur les systèmes informatiques. Le bulletin précise que seules les versions antérieures à la version 10.6p2 sont concernées par cette faille. Les administrateurs doivent vérifier rigoureusement leur niveau de version actuel. Si l’installation est inférieure au seuil de sécurité 10.6p2, le système est vulnérable. L’absence de mise à jour expose les infrastructures à des attaques potentielles visant à contourner les mécanismes de protection intégrés au logiciel.

Risque pour la confidentialité et actions requises

La nature de cette faille réside dans une exploitation possible par un utilisateur mal intentionné. L’attaque cible directement les fonctions de copie au niveau du noyau du système, permettant à un tiers d’accéder aux données stockées sans autorisation. Cela porte atteinte directement à la confidentialité des informations présentes sur le serveur ou l’appareil compromis. Le Centre pour la cybersécurité encourage vivement les utilisateurs et les administrateurs à consulter les liens fournis dans le bulletin et à installer les mises à jour nécessaires dès leur disponibilité.

L’objectif est de restaurer l’intégrité du système avant qu’une exploitation ne soit tentée. Les notes de version d’OpenSSH, disponibles en anglais, détaillent les correctifs apportés pour colmater cette brèche.

Gestion des versions et ressources techniques

Pour les équipes techniques disposant de plusieurs versions de la distribution, une gestion de version détaillée se trouve à la fin du document officiel. Des liens directs vers les notes de libération d’OpenSSH permettent de vérifier l’historique des correctifs. Par ailleurs, le bulletin rappelle que des mises à jour de sécurité similaires ont été publiées par le passé pour d’autres versions de la distribution, comme celles datant de 2005 pour les systèmes i386.

Ces précédents historiques montrent que OpenBSD maintient une politique stricte de correction rapide des failles, bien que cette fois-ci l’urgence soit accrue par l’ajout au catalogue KEV. Il est impératif de ne pas négliger ces mises à jour sous prétexte qu’elles sont techniques ou fastidieuses, car le coût d’une compromission dépasse largement celui d’une installation rapide.

Source : Centre canadien pour la cybersécurité — https://cyber.gc.ca/fr/alertes-avis/bulletin-securite-openbsd-av26-1130