Le paysage de la cybersécurité s’est assombri ces derniers jours avec l’annonce d’une vague de vulnérabilités touchant des écosystèmes logiciels fondamentaux. Le Centre canadien pour la cybersécurité, via ses bulletins de sécurité officiels, a mis en garde les administrateurs système et les équipes techniques contre une série de failles potentiellement exploitables par des attaquants malveillants.

Une menace systémique portée par le bulletin AV26-1078

Publié le 22 octobre 2026, le bulletin de sécurité référencé sous l’identifiant AV26-1078 alerte spécifiquement sur des failles critiques affectant les pilotes C# de MongoDB. Les versions antérieures à la version 3.13.0 sont compromises par une vulnérabilité permettant un déni de service par épuisement de la mémoire. Cette faille technique, qualifiée de Memory-exhaustion denial of service, trouve son origine dans un mécanisme d’interne de symboles sans borne lors de la désérialisation des formats BSON ou JSON.

Un attaquant capable d’exploiter cette brèche pourrait provoquer l’arrêt brutal des services de base de données, rendant les applications dépendantes inaccessibles sans intervention manuelle ni redémarrage forcé.

Des failles répandues touchant PHP et Roundcube (AV26-1075 et AV26-1070)

La menace ne se limite pas aux bases de données. Le bulletin AV26-1075, émis le 22 octobre 2026, signale des vulnérabilités dans Roundcube Webmail. Les versions antérieures à la version 1.6.20 pour l’architecture x86 et antérieures à la version 1.7.5 pour les environnements ARM sont concernées par cette alerte. Parallèlement, le bulletin AV26-1070 du 21 octobre 2026 identifie des failles majeures dans PHP.

Les versions 8.5.x antérieures à 8.5.12, ainsi que les versions 8.4.x inférieures à 8.4.27 et les dérivées de la série 8.3 et 8.2 sont vulnérables. Ces failles dans un langage omniprésent comme PHP représentent un risque systémique pour des millions de sites web et d’applications hébergées sur le web.

L’urgence opérationnelle avec SolarWinds et Craft CMS (AV26-1068 et AV26-1067)

Enfin, les outils de supervision et les plates-formes de gestion de contenu ne sont pas épargnés. Le bulletin AV26-1068 du 21 octobre 2026 met en lumière une faille dans SolarWinds Observability Self-Hosted affectant les versions antérieures à la version 2026.4. Il s’agit d’un problème de schéma d’autorisation rompu, permettant potentiellement un accès non autorisé aux données critiques surveillées par cette plateforme.

De son côté, le bulletin AV26-1067 du 19 octobre 2026 concerne Craft CMS. Les versions antérieures à la 4.18.8 et la 5.11.0 sont exposées à une faille d’exécution de code distant (RCE) authentifiée via un filtre de tableau d’appel de groupe Twig. Chaque bulletin du Centre canadien pour la cybersécurité conclut par une recommandation formelle : les utilisateurs doivent consulter les liens fournis et installer immédiatement les correctifs dès leur disponibilité.

Source : CERT-FR — https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1373/