Une alerte technique majeure émanant du CERT-FR

Le Centre national de la cybersécurité, via son service CERT-FR, a publié un avis de sécurité concernant des failles multiples au sein de l’offre logicielle d’IBM. Selon le bulletin officiel disponible sur le site cert.cyber.gouv.fr, ces vulnérabilités ont été identifiées et rendues publiques le 18 septembre 2026. L’ampleur de la menace réside dans la diversité des vecteurs d’attaque potentiels : un attaquant distant pourrait en effet forcer l’exécution de son propre code sur les machines infectées, s’octroyer des droits administratifs supérieurs ou simplement rendre le service inaccessible par saturation. Ces capacités offensives sont décrites comme étant activement exploitables sans nécessiter d’accès préalable physique au système.

Un inventaire exhaustif des produits concernés et des correctifs

Le document technique détaille une liste impressionnante de logiciels IBM touchés, couvrant des gammes variées allant des bases de données aux outils de gestion de fichiers. Les versions vulnérables incluent notamment les éditeurs Db2 11.5.x (avant la version 11.5.9), Db2 12.1.x (avant 12.1.4 et 12.1.5), ainsi que Informix Dynamic Server pour les versions 12.10, 14.10.x et 15.0.x. D’autres produits comme Sterling B2B Integrator, Sterling Connect:Direct FTP+ ou encore WebSphere Application Server - Liberty sont également listés avec leurs numéros de version critiques.

Pour chaque produit, le CERT-FR renvoie vers des bulletins de sécurité spécifiques publiés par IBM entre le 11 et le 17 septembre 2026, portant les références internes telles que 7287180, 7287209, 7287211 ou encore la longue série de notices numérotées à partir de 7286659. Ces bulletins officiels hébergés sur support.ibm.com constituent la seule source fiable pour obtenir les correctifs nécessaires.

La nécessité d’une mise à jour immédiate et vérifiée

Face à cette avalanche de références CVE, qui s’étendent de CVE-2017-16026 aux identifiants récents comme CVE-2026-42033, la posture recommandée est sans équivoque : appliquer les correctifs dès que possible. L’absence de mise à jour expose les organisations utilisant ces logiciels à des risques opérationnels et financiers directs. Il est impératif de vérifier la version exacte installée sur chaque serveur ou poste de travail avant d’envisager une correction.

Les administrateurs système doivent consulter les liens fournis par IBM pour télécharger les patches correspondants, en veillant à ne pas ignorer les notices publiées après le 14 septembre 2026 qui concernent des produits spécifiques comme Tivoli Application Dependency Discovery Manager ou Sterling Secure Proxy. La prudence s’impose particulièrement pour les environnements critiques où la disponibilité du service est primordiale, car certaines de ces failles permettent un déni de service à distance.

Source : CERT-FR — https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1206/