Numéro de série : AV26-651
Date : 3 juillet 2026

Le 2 juillet 2026, Erlang a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• OTP – versions antérieures à 27.3.4.14, 28.5.0.3 et 29.0.3;
• SSL (OTP) – versions antérieures à 11.7.3, 11.6.0.3 et 11.2.12.10.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Denial-of-Service for TLS-1.3 server Using Session Tickets (en anglais seulement)
• DTLS Denial of Service (en anglais seulement)
• Erlang Security (en anglais seulement)

Numéro de série : AV26-650
Date : 3 juillet 2026

Le 30 juin 2026, GitHub a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• GitHub Enterprise Server – version 3.21.x antérieures à 3.21.2;
• GitHub Enterprise Server – version 3.20.x antérieures à 3.20.4;
• GitHub Enterprise Server – version 3.19.x antérieures à 3.19.8;
• GitHub Enterprise Server – version 3.18.x antérieures à 3.18.11;
• GitHub Enterprise Server – version 3.17.x antérieures à 3.17.17.

GitHub indique que les futures mises à jour et versions seront signées avec une nouvelle clé publique, et les clients devront passer à la nouvelle clé avant que ces mises à jour et versions puissent être installées.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les page Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Enterprise Server 3.21.2 (en anglais seulement)
• Enterprise Server 3.20.4 (en anglais seulement)
• Enterprise Server 3.19.8 (en anglais seulement)
• Enterprise Server 3.18.11 (en anglais seulement)
• Enterprise Server 3.17.17 (en anglais seulement)

Numéro de série : AV26-649
Date : 3 juillet 2026

Le 2 juillet 2026, WatchGuard a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• Fireware OS 2025.1 – version 2026.2 et versions antérieures;
• Fireware OS 11.x - version 11.12.4_Update1 et versions antérieures;
• Fireware OS 12.0 – version 12.12 et versions antérieures;
• Fireware OS 12.5 – version 12.5.18 et versions antérieures;
• Mobile VPN with SSL client for Windows – version 2026.2 et versions antérieures.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• WatchGuard Firebox Race Condition and Use-After-Free in Mobile VPN with IKEv2 LDAP Authentication (en anglais seulement)
• WatchGuard Mobile VPN with SSL Windows Client Local Privilege Escalation (en anglais seulement)
• WatchGuard Security Advisories (en anglais seulement)

Numéro de série : AV26-647
Date : 2 juillet 2026
Mise à jour : 2 juillet 2026

Le 30 juin 2026, Adobe a publié des bulletins de sécurité visant à corriger des vulnérabilités critiques liées aux produits suivants :

• Adobe ColdFusion 2025 – mise à jour 9 et versions antérieures;
• Adobe ColdFusion 2023 – mise à jour 20 et versions antérieures;
• Adobe Campaign Classic – version ACC v7: 7.4.3 build 9396 et versions antérieures.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci‑dessous et d'appliquer les mises à jour nécessaires.

Mise à jour 1

Des rapports de sources ouvertes indiquent que la vulnérabilité CVE-2026-48282 est exploitée.

• Security update available for Adobe ColdFusion | APSB26-68 (en anglais seulement)
• Security updates available for Adobe Campaign Classic | APSB26-69 (en anglais seulement)
• Adobe Security Advisories (en anglais seulement)

Numéro : AL26-016
Date : 2 juillet 2026

Auditoire

La présente alerte s’adresse aux professionnelles, professionnels et gestionnaires des TI.

Objet

Une alerte vise à sensibiliser les destinataires à une cybermenace récemment détectée pouvant toucher les actifs informationnels, et à fournir des conseils supplémentaires en matière de détection et d’atténuation. Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) est également disponible pour offrir une assistance supplémentaire relativement au contenu de cette alerte, sur demande.

Détails

Le Centre pour la cybersécurité est au courant d’une vulnérabilité touchant NetScaler ADC (anciennement Citrix ADC), NetScaler Gateway (anciennement Citrix Gateway) et NetScaler ADC FIPS (Federal Information Processing Standards)^{Note de bas de page 1Note de bas de page 2}. En réponse à l’avis de Citrix publié le 30 juin 2026, le Centre pour la cybersécurité a publié le bulletin de sécurité AV26-645 le 30 juin 2026^{Note de bas de page 3}.

Publiée sous le numéro CVE-2026-8451^{Note de bas de page 4}, cette vulnérabilité est une vulnérabilité de validation insuffisante des entrées (CWE-125)^{Note de bas de page 5} qui touche de nombreuses versions de NetScaler ADC et NetScaler Gateway. Si elle est exploitée, cette vulnérabilité peut entraîner une lecture excessive de la mémoire lorsque NetScaler ADC ou NetScaler Gateway est configuré comme fournisseur d’identité (IdP) SAML (Security Assertion Markup Language).

Cette vulnérabilité ne touche que les déploiements de NetScaler ADC et NetScaler Gateway gérés par les clients. Les services infonuagiques gérés par Citrix ont été mis à niveau avec les mises à jour logicielles nécessaires pour corriger cette vulnérabilité.

Mesures recommandées

Le Centre pour la cybersécurité recommande aux organisations utilisant les appareils Citrix NetScaler ADC, NetScaler Gateway, NetScaler ADC FIPS et NFcPP^{Note de bas de page 1} de mettre à jour ou de mettre à niveau les systèmes touchés vers les versions suivantes :

Le Centre pour la cybersécurité recommande de suivre les directives de Citrix si une organisation soupçonne qu’une instance de NetScaler ADC ou de NetScaler Gateway a été compromise^{Note de bas de page 6}.

De plus, le Centre pour la cybersécurité recommande fortement aux organisations de revoir et de mettre en œuvre les 10 mesures de sécurité des TI du Centre pour la cybersécurité, en mettant l’accent sur les domaines suivants^{Note de bas de page 7} :

• Appliquer des correctifs aux applications et aux systèmes d’exploitation;
• Renforcer les systèmes d’exploitation et les applications;
• Isoler les applications Web.

Toute activité correspondant au contenu de la présente alerte devrait être signalée au moyen de Mon cyberportail ou par courriel à contact@cyber.gc.ca.

Numéro de série : AV26-648
Date : 2 juillet 2026

Le 30 juin 2026, Google a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• Stable Channel Chrome for Desktop – versions antérieures à 150.0.7871.46/47 (Windows/Mac), et 150.0.7871.46 (Linux)

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d’appliquer les mises à jour nécessaires, lorsqu’elles sont disponibles.

• Google Chrome Security Advisory (en anglais seulement)

Numéro de série : AV26-646
Date : 2 juillet 2026

Le 1 juillet 2026, Cisco a publié des avis de sécurité visant à corriger des vulnérabilités dans plusieurs produits :

• Cisco Catalyst Center Release 2.3.7 - versions antérieures à 2.3.7.11-VA GSMU100;
• Cisco Catalyst Center Release 3.1 - versions antérieures à 3.1.6 GSMU200;
• Secure Endpoint Connector - multiples versions et plateformes.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires, lorsqu’elles sont disponibles.

• Cisco Catalyst Center Arbitrary File Read Vulnerability (en anglais seulement)
• ClamAV Vulnerabilities Affecting Cisco Products: July 2026 (en anglais seulement)
• Cisco Security Advisories (en anglais seulement)

Numéro : AL26-015
Date : 2 juillet 2026

Auditoire

La présente alerte s’adresse aux professionnelles et professionnels des TI ainsi qu’aux gestionnaires.

Objet

Une alerte vise à sensibiliser les destinataires à une cybermenace récemment relevée pouvant toucher les biens d’information électroniques et à fournir des conseils supplémentaires en matière de détection et d’atténuation. Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) peut offrir une assistance supplémentaire aux destinataires qui en font la demande.

Détails

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) est au courant de l’exploitation active d’une vulnérabilité touchant Microsoft SharePoint Server. En réponse à l’avis de sécurité de Microsoft, publié le 21 mai 2026¹ , le Centre pour la cybersécurité a publié le bulletin de sécurité AV26-456 mise à jour 1^{Footnote 2}, le 21 mai 2026.

Publiée sous le numéro CVE-2026-45659^{Footnote 3}, cette vulnérabilité critique de désérialisation de données non fiables (CWE-502) ^{Footnote 4} touche plusieurs versions de Microsoft SharePoint Server et pourrait permettre à un attaquant distant disposant de faibles privilèges d’exécuter du code à distance.

Cette vulnérabilité a été ajoutée au catalogue des vulnérabilités exploitées connues (KEV) de la Cybersecurity and Infrastructure Security Agency (CISA)^{Footnote 5} le 1er juillet 2026.

Mesures recommandées

Le Centre pour la cybersécurité recommande aux organisations de mettre à niveau les instances de Microsoft SharePoint touchées vers une version corrigée :

Numéro de série : AV26-645
Date : 30 juin 2026
Mise à jour : 2 juillet 2026

Le 30 juin 2026, Citrix a publié un bulletin de sécurité visant à corriger des vulnérabilités critiques liées aux produits suivants :

• NetScaler ADC and NetScaler Gateway - versions 14.1 antérieurs à1-72.61
• NetScaler ADC and NetScaler Gateway - versions 13.1 antérieurs à1-63.18
• NetScaler ADC FIPS – versions antérieurs à1-72.61 FIPS
• NetScaler ADC FIPS and NDcPP – versions antérieurs à1-37.272

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci‑dessous et d'appliquer les mises à jour nécessaires.

Mise à jour 1

Des rapports de sources ouvertes indiquent que la vulnérabilité CVE-2026-8451 est exploitée.

• NetScaler ADC and NetScaler Gateway Security Bulletin for CVE-2026-8451, CVE-2026-8452, CVE-2026-8655, CVE-2026-10816, CVE-2026-10817, and CVE-2026-13474 (en anglais seulement)
• Citrix Security Advisories (en anglais seulement)

Numéro de série : AV26-644
Date : 30 juin 2026

Le 30 juin 2026, Mozilla a publié un bulletin de sécurité visant à corriger une vulnérabilité liée au produit suivant :

• Firefox – versions antérieures à 152.04;
• Thunderbird – versions antérieures à 140.12.1;
• Thunderbird – versions antérieures à 152.01.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci‑dessous et d’appliquer les mises à jour nécessaires.

• Mozilla Foundation Security Advisory 2026-62 (en anglais seulement)
• Mozilla Security Advisories (en anglais seulement)

Numéro de série : AV26-643
Date : 30 juin 2026

Le 23 juin 2026, wolfSSL a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• wolfSSL – versions antérieures à 5.9.2.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• wolfSSL Release 5.9.2 (23 juin 2026) (en anglais seulement)
• wolfSSL (en anglais seulement)

Numéro de série : AV26-642
Date : 30 juin 2026

Le 26 mai 2026, SimpleHelp a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• SimpleHelp – de la version 5.5.0 aux versions antérieures à 5.5.16;
• SimpleHelp – de la version 6.0 to aux versions antérieures à 6.0 RC2.

Le Cybersecurity and Infrastructure Security Agency (CISA) a ajouté la vulnérabilité CVE-2026-48558 à son catalogue de vulnérabilités exploitées connues (KEV) le 29 juin 2026.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer la mise à jour nécessaire. 

• SimpleHelp 5.5 and 6.0 Security Fix (en anglais seulement)
• SimpleHelp Release News (en anglais seulement)
• CISA KEV: CVE-2026-48558 (en anglais seulement)

Numéro de série : AV26-641
Date : 29 juin 2026

Le 29 juin 2026, Apple a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• iOS and iPadOS – versions antérieures à 26.5.2;
• macOS Tahoe – versions antérieures à 26.5.2;
• Safari – versions antérieures à 26.5.2.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• About the security content of iOS 26.5.2 and iPadOS 26.5.2 (en anglais seulement)
• About the security content of macOS Tahoe 26.5.2 (en anglais seulement)
• Apple security releases (en anglais seulement)

Numéro de série : AV26-526
Date : 29 mai 2026
Mise à jour : 29 juin 2026

Le 28 mai 2026, Oracle a publié un bulletin de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• Oracle Communications Unified Assurance - de la version 6.1.1 à 7.0.0;
• Oracle Database Server - de la version 23.4.0 à 23.26.2;
• Oracle E-Business Suite - de la version 12.2.3 à 12.2.15;
• Oracle Hospitality OPERA 5 Property Services - versions 5.6.19.24, 5.6.22, 5.6.25.19, 5.6.27.6 et 5.6.28;
• Oracle REST Data Services - de la version 24.2.0 à 26.1.0.

Mise à jour 1

Des rapports de sources ouvertes indiquent que la vulnérabilité CVE-2026-46817 est exploitée.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web suivantes et de suivre les mesures d'atténuation recommandées.

• Oracle Critical Security Patch Update Advisory - May 2026 (en anglais seulement)
• Oracle Critical Patch Updates, Security Alerts and Bulletins (en anglais seulement)

Numéro de série : AV26-640
Date : 29 juin 2026

Le 26 juin 2026, Microsoft a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• Microsoft Edge Stable Channel – versions antérieures à 149.0.4022.98.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d'appliquer la mise à jour nécessaire.

• Microsoft Edge Stable Channel Release Notes (en anglais seulement)

Numéro de série : AV26-639
Date : 29 juin 2026

Du 22 au 28 juin 2026, IBM a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à de multiples produits. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

• IBM Cloud Pak System – version 2.3.5.0;
• IBM Observability with Instana (Agent) – de la version 1.0.303 à la version 1.0.319;
• IBM Db2 Big SQL on Cloud Pak for Data – version 5.0;
• IBM Db2 Big SQL on IBM Software Hub – multiple versions;
• IBM Engineering Workflow Management – version 7.2, 7.1 et 7.0.3;
• IBM Engineering Requirements Management DOORS Next – version 7.2, 7.1 et 7.0.3;
• Global Configuration Management – version 7.2, 7.1 et 7.0.3;
• Jazz Foundation – version 7.2, 7.1 et 7.0.3;
• Langflow OSS – de la version 1.0.0 à la version 1.10.0;
• IBM Engineering Test Management – version 7.2, 7.1 et 7.0.3;
• IBM InfoSphere Information Server – de la version 11.7.0.0 à la version 11.7.1.6;
• IBM Operator for PostgreSQL – de la version v28.3.0 à la version v28.3.2;
• IBM Spectrum Control – multiples versions;
• IBM Sterling Partner Engagement Manager Essentials Edition – multiples versions;
• IBM Sterling Partner Engagement Manager Standard Edition – multiples versions;
• IBM Storage Defender Copy Data Management – de la version 2.2.0.0 à la version 2.3.0.1;
• IBM Storage Protect Plus File Systems Agent – de la version 10.1.6 à la version 10.1.18;
• IBM Storage Protect Plus Guest Applications – de la version 10.1.6 à la version10.1.18;
• IBM Storage Protect Plus vSnap – de la version 10.1 à la version 10.1.18;
• IBM Storage Protect Plus Server – de la version 10.1 à la version 10.1.18;
• IBM Storage Sentinel Anomaly Scan Engine – de la version 1.1.0 à la version 2.3.0;
• IBM watsonx Orchestrate Developer Edition – de la version 1.4.0 à la version 2.11.0;
• WatsonX BI – de la version 5.0 à la version 5.3;
• WebSphere Service Registry and Repository – version 8.5.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d'appliquer les mises à jour nécessaires.

• IBM Product Security Incident Response (en anglais seulement)

Numéro de série : AV26-638
Date : 29 juin 2026

Du 22 au 28 juin 2026, Dell a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à de multiples produits :

• Dell PowerProtect Data Manager Appliance DM5510 – versions antérieures à 20.1.0.0;
• Dell Networking OS10 – versions antérieures à 10.6.1.2;
• Dell Private Cloud, Nutanix – versions antérieures à 01.02.00.00;
• PowerSwitch Z9864F-ON – versions antérieures à 3.5.0;
• Dell AX System for Azure – versions antérieures à 2606;
• Dell OpenManage Enterprise Modular – versions antérieures à 2.20.20;
• Dell iDRAC10 – versions antérieures à 1.30.10.51.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d'appliquer les mises à jour nécessaires.

• Avis, notifications et ressources de sécurité Dell

Numéro de série : AV26-637
Date : 29 juin 2026

Du 22 au 28 mars 2026, CISA a publié des bulletins de sécurité SCI visant à corriger des vulnérabilités liées aux produits suivants :

• ABB Freelance Security Lock – toutes les versions;
• B&R Industrial Automation GmbH APROL – versions antérieures à APROL-AutoYaST-DVD- V4.4-010.10.260602;
• B&R Industrial Automation GmbH Linux for B&R – versions antérieures à 12;
• B&R Industrial Automation GmbH X20EDS410 – toutes les versions;
• Daktronics Controller Firmware VFC-DMP-5000 / DMP-8000 – multiples versions;
• Delta Electronics DTMSoft – toutes les versions;
• EVoke Systems Charging Station Management System (CSMS) – toutes les versions;
• VIEW HV-500S6 IP Camera – versions antérieures à IPCAM_V4.06.88.251229;
• Horner Automation Cscape – versions antérieures à 10.2_SP3;
• Hubbell Aclara Metrum Cellular Web Interface – versions antérieures à v2.1.0.105;
• OHIF DICOM Web Viewer Framework – versions antérieures à v3.12.0
• PowerLogic P7 – version 0.2.003.001.000 et versions ultérieures;
• pydicom pynetdicom Library – de la version v1.0.0 de versions antérieures à v3.0.4;
• Schneider Electric PowerLogic P7 – multiples versions;
• Siemens Products using OpenSSL – toutes les versions;
• Siemens SINEC INS – versions antérieures à 1.0.2.6;
• Siemens SIPROTEC 5 Using DIGSI5 Protocol – toutes les versions;
• Siemens WinCC Certificate Manager – toutes les versions;
• Yokogawa Collaborative Information Server (CI Server) – de la version R1.01 à R1.04;
• Yokogawa FAST/TOOLS – de la version R9.01 à R10.04.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous, de suivre les mesures d'atténuation recommandées et si disponible, appliquer les mises à jour nécessaires.

• CISA ICS Advisories (en anglais seulement)

Numéro de série : AV26-636
Date : 29 juin 2026

Du 22 au 28 juin 2026, Red Hat a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à de multiples produits. Ces bulletins comprennent des mises à jour pour corriger des vulnérabilités liées au noyau Linux dans les produits suivants :

• Red Hat CodeReady Linux Builder – multiples versions et plateformes;
• Red Hat Enterprise Linux – multiples versions et plateformes;
• Red Hat Enterprise Linux Server – multiples versions et plateformes.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• Red Hat Security Advisories (en anglais seulement)

Numéro de série : AV26-635
Date : 29 juin 2026

Du 22 au 28 juin 2026, Ubuntu a publié des avis de sécurité visant à corriger des vulnérabilités de noyau Linux liée aux produits suivants :

• Ubuntu 20.04 LTS;
• Ubuntu 22.04 LTS;
• Ubuntu 26.04 LTS.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Ubuntu Security Notices (en anglais seulement)

Numéro de série : AV26-634
Date : 26 juin 2026

Le 25 juin 2026, Google a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• Stable Channel Chrome for Desktop – versions antérieures à 149.0.7827.200/201 (Windows/Mac), et 149.0.7827.200 (Linux).

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d’appliquer les mises à jour nécessaires, lorsqu’elles sont disponibles.

• Google Chrome Security Advisory (en anglais seulement)

Numéro de série : AV26-547
Date : 3 juin 2026
Mise à jour : 25 juin 2026

Le 3 juin 2026, Cisco a publié des bulletins de sécurité visant à corriger des vulnérabilités dans plusieurs de ses produits. Ces mises à jour de sécurité comprenaient un correctif critique pour le produit suivant :

• Cisco Unified Communications Manager (CM) Release 14 – versions antérieures à 14SU6;
• Cisco Unified Communications Manager (CM) Release 15 – versions antérieures à 15SU5 (Sep 2026) ou COP;
• Cisco Unified Communications Manager Session Management Edition (CM SME) release 14 – versions antérieures à 14SU6;
• Cisco Unified Communications Manager Session Management Edition (CM SME) release 15 – versions antérieures à 15SU5 (Sep 2026) ou COP.

Cisco a indiqué qu'une preuve de concept est disponible pour la vulnérabilité CVE-2026-20230.

Mise à jour 1
Le Cybersecurity and Infrastructure Security Agency (CISA) a ajouté la vulnérabilité CVE-2026-20230 à son catalogue de vulnérabilités exploitées connues (KEV) le 25 juin 2026.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Cisco Unified Communications Manager Server-Side Request Forgery Vulnerability (en anglais seulement)
• Cisco Security Advisories (en anglais seulement)
• CISA KEV: CVE-2026-20230 (en anglais seulement)

Numéro de série : AV26-633
Date : 25 juin 2026

Le 25 juin 2026, HPE a publié un bulletin de sécurité visant à corriger une vulnérabilité critique liée au produit suivant :

• HPE Telco Service Orchestrator – versions antérieures à v5.6.1.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• HPESBNW05070 rev.1 - HPE Telco Service Orchestrator Software, Multiple Vulnerabilities (en anglais seulement)
• HPE Security Bulletin Library (en anglais seulement)

Numéro de série : AV26-632
Date : 25 juin 2026

Le 24 juin 2026, HPE a publié un bulletin de sécurité visant à corriger une vulnérabilité liée au produit suivant :

• HPE Unified Correlation Analyzer (UCA) – versions antérieures à 4.4.10.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• HPESBNW05073 rev.1 - HPE Telco Unified Correlation and Automation (UCA), Multiple Vulnerabilities (en anglais seulement)
• HPE Security Bulletin Library (en anglais seulement)

Numéro de série : AV26-631
Date : 25 juin 2026

Le 24 juin 2026, Drupal a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à plusieurs produits. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

• Geolocation Field – versions antérieures à 3.15.0;
• WissKI – versions antérieures à 4.2.0.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci‑dessous et d'appliquer les mises à jour nécessaires ou de suivre les mesures d'atténuation recommandées.

• Geolocation Field - Critical - SQL Injection - SA-CONTRIB-2026-062 (en anglais seulement)
• WissKI - Critical - Access bypass - SA-CONTRIB-2026-059 (en anglais seulement)
• Bulletins de sécurité Drupal (en anglais seulement)

Numéro de série : AV26-630
Date : 24 juin 2026

Le 24 juin 2026, GitLab a publié un bulletin de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• GitLab Community Edition (CE) – versions antérieures à 19.1.1, 19.0.3 et 18.11.6;
• GitLab Enterprise Edition (EE) – versions antérieures à 19.1.1, 19.0.3 et 18.11.6.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• GitLab Patch Release: 19.1.1, 19.0.3, 18.11.6 (en anglais seulement)
• GitLab Releases (en anglais seulement)

Numéro de série : AV26-629
Date : 24 juin 2026

Le 24 juin 2026, Jenkins a publié un bulletin de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• Assembla Plugin – versions antérieures à 1.4;
• External Workspace Manager Plugin – versions antérieures à 1.3.2;
• OWASP ZAP Plugin – versions antérieures à 1.0.7;
• Script Security Plugin – versions antérieures à 1402.v94c9ce464861.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d'appliquer les mises à jour nécessaires.

• XXE vulnerability in Assembla Plugin (en anglais seulement)
• Path traversal vulnerability in External Workspace Manager Plugin (en anglais seulement)
• Builds executed on the Jenkins controller by OWASP ZAP Plugin can lead to RCE (en anglais seulement)
• Script security bypass vulnerability in Script Security Plugin (en anglais seulement)
• Sandbox bypass vulnerability in Script Security Plugin (en anglais seulement)
• Avis de sécurité Jenkins (en anglais seulement)

Numéro de série : AV26-628
Date : 24 juin 2026

Le 24 juin 2026, n8n a publié des bulletins de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• n8n – versions antérieures à 2.28.1;
• n8n – versions antérieures à to 2.27.4;
• n8n – versions antérieures à 1.123.61.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer la mise à jour nécessaire.

• "Allowed HTTP Request Domains" Restriction Bypass via AI Agents MCP Connector (en anglais seulement)
• Prototype Pollution via Workflow Credentials Leads to Unauthenticated User and Project Enumeration (en anglais seulement)
• Cross-Issuer Token Exchange Account Binding via Subject-Only Identity Resolution (en anglais seulement)
• Shared Credential Header Leak via HTTP Request Pagination Expression (en anglais seulement)
• n8n Security (en anglais seulement)

Numéro de série : AV26-627
Date : 24 juin 2026

Le 23 juin 2026, Tenable a publié un bulletin de sécurité visant à corriger des vulnérabilités critiques liées au produit suivant :

• Tenable Identity Exposure – versions antérieures à 3.93.4.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• [R1] Tenable Identity Exposure Version 3.93.5 Fixes Multiple Vulnerabilities (en anglais seulement)
• Tenable Product Security Advisories (en anglais seulement)

Numéro de série : AV26-626
Date : 24 juin 2026

Le 23 juin 2026, Google a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• Stable Channel Chrome for Desktop – versions antérieures à 149.0.7827.196/197 (Windows/Mac), et 149.0.7827.196 (Linux).

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d’appliquer les mises à jour nécessaires, lorsqu’elles sont disponibles.

• Google Chrome Security Advisory (en anglais seulement)

Numéro de série : AV26-241
Date : 16 mars 2026
Mise à jour : 23 juin 2026

Du 9 au 15 mars 2026, CISA a publié des bulletins de sécurité SCI visant à corriger des vulnérabilités liées aux produits suivants :

• Apeman Cameras ID71 – toutes les versions;
• Ceragon Siklu MultiHaul and EtherHaul Series – multiples versions;
• Honeywell IQ4x BMS Controller – multiples versions et models;
• Inductive Automation Ignition Software – versions antérieures à 8.3.0;
• Lantronix EDS3000PS – version 3.1.0.0R2;
• Lantronix EDS5000 – version 2.1.0.0R3;
• Siemens Heliox EV Chargers – version Heliox Mobile DC 40 kW EV Charging Station;
• Siemens Heliox EV Chargers – version Heliox Flex 180 kW EV Charging Station;
• Siemens RUGGEDCOM APE1808 Devices – toutes les versions;
• Siemens SIDIS Prime – versions antérieures à V4.0.800;
• Siemens SIMATIC – multiples versions et models;
• Trane Tracer Concierge – versions antérieures à v6.3.2310;
• Trane Tracer SC – versions antérieures à v4.4_SP7;
• Trane Tracer SC+ – versions antérieures à v6.3.2310;

Mise à jour 1
Le Cybersecurity and Infrastructure Security Agency (CISA) a ajouté la vulnérabilité CVE-2025-67038 lié au Lantronix EDS5000 à son catalogue de vulnérabilités exploitées connues (KEV) le 23 juin 2026.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous, de suivre les mesures d’atténuation recommandées et si disponible, appliquer les mises à jour nécessaires.

• CISA ICS Advisories (en anglais seulement)
• CISA KEV: CVE-2025-67038 (en anglais seulement)

Numéro de série : AV26-498
Date : 22 mai 2026
Mise à jour : 23 juin 2026

Le 21 mai 2026, Ubiquiti a publié un bulletin de sécurité visant à corriger des vulnérabilités liées aux produits suivants. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

• Express - version 4.0.13 et versions antérieures;
• UCG-Industrial - version 5.0.13 et versions antérieures;
• UDM, UDM-Pro, UDM-SE, UDM-Pro-Max, EFG, UDW, UDR, UDR7, Express 7, UNVR, UNVR-Pro, UNVR-Instant, ENVR, UCG-Ultra, UCG-Max et UCG-Fiber - version 5.0.16 et versions antérieures;
• UDM-Beast, UNAS-2, UNAS-4, UNAS-Pro, UNAS-Pro-4 et UNAS-Pro-8 - version 5.1.8 et versions antérieures;
• UDR-5G, ENVR-Core, UCKP, UCK et UCK-Enterprise - version 5.0.17 et versions antérieures;
• UNVR-G2 et UNVR-G2-Pro - version 5.1.11 et versions antérieures;
• UniFi OS Server - version 5.0.6 et versions antérieures.

Mise à jour 1
Le Cybersecurity and Infrastructure Security Agency (CISA) a ajouté les vulnérabilités CVE-2026-34908, CVE-2026-34909, et CVE-2026-34910 à son catalogue de vulnérabilités exploitées connues (KEV) le 23 juin 2026.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Ubiquiti UniFi - Security Advisory Bulletin 064 (en anglais seulement)
• Ubiquiti UniFi Security Releases (en anglais seulement)
• CISA KEV: CVE-2026-34908 (en anglais seulement)
• CISA KEV: CVE-2026-34909 (en anglais seulement)
• CISA KEV: CVE-2026-34910 (en anglais seulement)

Numéro de série : AV26-625
Date : 23 juin 2026

Du 22 au 23 juin 2026, Broadcom a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à plusieurs produits. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

• VMware Tanzu Data Flow on Kubernetes – versions antérieures à 2.1.3;
• VMware Tanzu Greenplum Backup and Restore – versions antérieures à 1.33.2;
• VMware Tanzu Greenplum Platform Extension Framework – versions antérieures à 8.0.1;
• VMware Tanzu RabbitMQ on Kubernetes – versions antérieures à 3.13.17;
• VMware Tanzu RabbitMQ on Kubernetes – versions antérieures à 4.0.22;
• VMware Tanzu RabbitMQ on Kubernetes – versions antérieures à 4.1.13;
• VMware Tanzu RabbitMQ on Kubernetes – versions antérieures à 4.2.8;
• VMware Tanzu RabbitMQ on Kubernetes – versions antérieures à 4.3.2;
• VMware Tanzu GemFire – versions antérieures à 10.1.8;
• VMware Tanzu RabbitMQ – versions antérieures à 3.13.17;
• VMware Tanzu RabbitMQ – versions antérieures à 4.0.22;
• VMware Tanzu RabbitMQ – versions antérieures à 4.1.13;
• VMware Tanzu RabbitMQ – versions antérieures à 4.2.8;
• VMware Tanzu RabbitMQ – versions antérieures à 4.3.2;
• VMware Tanzu Greenplum – versions antérieures à 6.33.2;
• VMware Tanzu Greenplum – versions antérieures à 7.8.2.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• Security Advisories - Tanzu (en anglais seulement)

Numéro de série : AV26-624
Date : 22 juin 2026

Le 18 juin 2026, Nodejs a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• js 22 – versions antérieures à v22.23.0;
• js 24 – versions antérieures à v24.17.0;
• js 26 – versions antérieures à v26.3.1.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Nodejs - Thursday, June 18, 2026 Security Releases (en anglais seulement)
• Nodejs Releases (en anglais seulement)

Numéro de série : AV26-623
Date : 22 juin 2026

Le 19 juin 2026, JetBrains a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à multiple produits. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

• JetBrains YouTrack - multiples versions;
• JetBrains Hub - multiples versions.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• JetBrains – Fixed security issues (en anglais seulement)

Numéro de série : AV26-622
Date : 22 juin 2026

Le 18 juin 2026, Microsoft a publié un bulletin de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• Microsoft Edge Stable Channel – versions antérieures à 149.0.4022.80.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d’appliquer la mise à jour nécessaire.

Le Centre pour la cybersécurité recommande aux utilisateurs et aux administrateurs de consulter la page Web ci‑dessous, de suivre les mesures d’atténuation recommandées et d’appliquer les mises à jour nécessaires.

• Microsoft Edge Stable Channel Release Notes (en anglais seulement)

Numéro de série : AV26-621
Date : 22 juin 2026

Du 15 au 21 juin 2026, Red Hat a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à de multiples produits. Ces bulletins comprennent des mises à jour pour corriger des vulnérabilités liées au noyau Linux dans les produits suivants :

• Red Hat CodeReady Linux Builder - multiples versions et plateformes;
• Red Hat Enterprise Linux - multiples versions et plateformes;
• Red Hat Enterprise Linux Server - multiples versions et plateformes;
• Red Hat Enterprise Linux for Real Time - multiples versions et plateformes.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• Red Hat Security Advisories (en anglais seulement)

Numéro de série : AV26–620
Date : 22 juin 2026

Du 15 au 21 juin 2026, CISA a publié des bulletins de sécurité SCI visant à corriger des vulnérabilités liées aux produits suivants :

• Apollo Pharmacy Blood Glucose Monitoring System APG-01 BT - version 0x0110_v1.1.0;
• AVer PTC cameras PTC500S / PTC115 / PTC500+ / PTC115+ - toutes les versions;
• AzeoTech DAQFactory - versions antérieures à 21.1;
• Mitsubishi Electric Co.'s MELSEC iQ-F Series FX5-ENET/IP Ethernet Module - toutes les versions;
• Mitsubishi Electric MELSEC iQ-F Series FX5-EIP EtherNet/IP Module FX5-EIP - versions antérieures à 1.000;
• Rockwell Automation 1794-AENTR - versions antérieures à V2.012;
• Rockwell Automation 1794-AENTRXT - versions antérieures à V2.012;
• Rockwell Automation CompactLogix - multiples versions et models;
• Rockwell Automation FactoryTalk Analytics PavilionX - versions antérieures à 7.01;
• Rockwell Automation FactoryTalk Historian Site Edition (SE) - versions antérieures à 11 et 11.00;
• Rockwell Automation Logix 5370 & 5570 - multiples versions and models;
• Rockwell Automation RSLinx Classic - versions antérieures à 4.50.00;
• Schneider Electric Easergy, EcoStruxture, PowerLogic, and Saitel Products - multiples versions and models;
• Schneider Electric EasyLogic T150 and Saitel DP - versions antérieures à 11.06.31 et 11.06.36.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous, de suivre les mesures d’atténuation recommandées et si disponible, appliquer les mises à jour nécessaires.

• CISA ICS Advisories (en anglais seulement)

Numéro de série strong>AV26-619
Date : 22 juin 2026

Du 15 au 21 juin 2026, Dell a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à de multiples produits :

• Dell Container Storage Modules - multiples versions;
• Dell Data Protection Central - versions 19.10 de 19.12 avec Data Protection Central OS Update antérieures à dpc-osupdate-1.1.27-1;
• Dell PowerFlex Custom Node - multiples versions;
• Dell PowerFlex Software - versions antérieures à 4.5.5.2;
• Dell PowerFlex Software - versions antérieures à 5.1.0.1;
• Dell Private Cloud - Red Hat - versions antérieures à 01.04.00.00;
• Dell VxFlex Ready Node - versions antérieures à 2.25.0;
• Dell VxRail Appliance - versions antérieures à 9.1.000;
• PowerProtect DB - versions antérieures à 2.7.9 avec Data Protection Central OS Update antérieures à dpc-osupdate-1.1.27-1.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Avis, notifications et ressources de sécurité Dell (en anglais seulement)

Numéro de série : AV26-618
Date : 22 juin 2026

Du 15 au 21 juin 2026, Ubuntu a publié des avis de sécurité visant à corriger des vulnérabilités de noyau Linux liée aux produits suivants :

• Ubuntu 16.04 LTS;
• Ubuntu 20.04 LTS;
• Ubuntu 22.04 LTS.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Ubuntu Security Notices (en anglais seulement)

Numéro de série : AV26-617
Date : 22 juin 2026

Du 15 au 21 juin 2026, IBM a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à de multiples produits. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

• Content-Aware Storage - de la version 1.0.0 à 1.1.3;
• DataStage on Cloud Pak for Data - versions antérieures à 5.3.1.0;
• Decision Optimization for Cloud Pak for Data - de la version 5.0 à 5.3.1 - Patch 4 releases;
• Host On-Demand (HOD) - de la version 16.0 à 16.0.1, de la version 15.0 à 15.0.4;
• IBM ApplinX - versions antérieures à 11.1 et 12.1;
• IBM Cloud Pak for Data System (CPDS) - de la version 1.0.0.0 à 1.0.10.0;
• IBM Db2 on Cloud Pak for Data and Db2 Warehouse on Cloud Pak for Data - multiples versions;
• IBM Engineering Lifecycle Management on Hybrid Cloud - de la version 1.0.0 à 1.3.0;
• IBM Enterprise Build of Quarkus - de la version 3.27.1 à 3.27.4, de la version 3.33.1 à 3.33.2;
• IBM EntireX - versions antérieures à 11.1;
• IBM Fusion HCI - de la version 2.10.0 à 2.12.1;
• IBM Fusion - de la version 2.9.0 à 2.12.1;
• IBM Guardium Key Lifecycle Manager (SKLM/GKLM) - versions antérieures à 4.1;
• IBM HTTP Server - versions antérieures à 9.0 et 8.5;
• IBM MQ Operator - multiples versions;
• IBM Netezza Software - versions antérieures à 11.3.0.3-IF2;
• IBM Operational Decision Manager - multiples versions;
• IBM Planning Analytics Local - de la version 2.1.0 à 2.1.20;
• IBM Robotic Process Automation for Cloud Pak - multiples versions;
• IBM Security QRadar Log Management AQL Plugin - de la version 1.0.0 à 1.1.5;
• IBM Sterling Connect:Direct Web Services - de la version 6.3.0 à 6.3.0.18;
• IBM Sterling Connect:Direct Web Services - de la version 6.4.0 à 6.4.0.7;
• IBM Tivoli Netcool Configuration Manager - de la version 6.4.2 GA à 6.4.2.24;
• IBM Watson Speech Services Cartridge - de la version 4.0.0 à 5.3.1;
• IBM supplied MQ Advanced container images - multiples versions;
• IBM webMethods BPM - versions antérieures à 12.1 et 11.1;
• ICP - Discovery - de la version 5.0.0 à 5.3.1;
• Langflow OSS - de la version 1.0.0 à 1.9.3;
• MongoDB Enterprise Advanced with IBM - de la version Ops-Manager 8.0.0 à 8.0.21;
• MongoDB Enterprise Advanced with IBM - de la version migrator 1.0.0 à 1.15.9;
• QRadar - versions antérieures à 7.5.0;
• UCD - IBM DevOps Deploy - de la version 8.0 à 8.0.1.13, de la version 8.1 à 8.1.2.6;
• UCD - IBM UrbanCode Deploy - de la version 7.2 à 7.2.3.23, de la version 7.3 à 7.3.2.18;
• WebSphere Application Server - versions antérieures à v9.0.5.5;
• voice-gateway/sip-orchestrator - versions antérieures à 1.0.8.26.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci-dessous et d’appliquer les mises à jour nécessaires.

• IBM Product Security Incident Response (en anglais seulement)

Numéro de série : AV26-616
Date : 19 juin 2026

Le 18 juin 2026, Mitsubishi Electric a publié des bulletins de sécurité visant à corriger des vulnérabilités liées au produit suivant :

• FX5-EIP EtherNet/IP Module FX5-EIP – version 1.000 et versions antérieures;
• FX5-ENET/IP Ethernet Module FX5-ENET/IP – toutes les versions.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Denial-of-service (DoS) vulnerability in MELSEC iQ-F Series EtherNet/IP module (PDF, en anglais seulement)
• Denial-of-service (DoS) vulnerability in MELSEC iQ-F Series FX5-ENET/IP Ethernet module (PDF, en anglais seulement)
• Multiple denial-of-service (DoS) vulnerabilities in Ethernet function of MELSEC iQ-F Series EtherNet/IP module and Ethernet module (PDF, en anglais seulement)

Numéro de série : AV26-615
Date : 18 juin 2026

Le 17 juin 2026, Drupal a publié des bulletins de sécurité visant à corriger des vulnérabilités liées à plusieurs produits. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

• Drupal core – multiples versions;
• Plotly.js Graphing – versions antérieures à 3.0.2;
• Flag attendance field – versions antérieures à 18.x-.2;
• Formatter Field – versions antérieures à 2.0.0.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci‑dessous et d'appliquer les mises à jour nécessaires ou de suivre les mesures d'atténuation recommandées.

• Drupal Security Advisories (en anglais seulement)

Numéro de série : AV26-586
Date : 10 juin 2026
Mise à jour : 18 juin 2026

Le 10 juin 2026, Splunk a publié des bulletins de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• Splunk SOAR – versions antérieures à 8.5.0;
• Splunk Enterprise – multiples versions et plateformes;
• Splunk Cloud Platform – multiples versions et plateformes.

Mise à jour 1

La Cybersecurity and Infrastructure Security Agency (CISA) a ajouté la vulnérabilité CVE-2026-20253 à son catalogue de vulnérabilités exploitées connues (KEV) le 18 juin 2026.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter la page Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• Splunk Security Advisories (en anglais seulement)
• CISA KEV: CVE-2026-20253 (en anglais seulement)

Numéro : AL26-014
Date : 18 juin 2026

Auditoire

La présente alerte s’adresse aux professionnelles et professionnels des TI ainsi qu’aux gestionnaires.

Objet

Une alerte vise à sensibiliser les destinataires à une cybermenace récemment relevée pouvant toucher les biens d’information électroniques et à fournir des conseils supplémentaires en matière de détection et d’atténuation. Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) peut offrir une assistance supplémentaire aux destinataires qui en font la demande.

Détails

Le 17 juin 2026, le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) a pris connaissance de rapports en sources ouvertes^{Note de bas de page 1Note de bas de page 2Note de bas de page 3Note de bas de page 4} décrivant une campagne malveillante à grande échelle, connue sous le nom de « FortiBleed », impliquant des identifiants exposés affectant des pare-feux ainsi que des passerelles de réseaux privés virtuels (RPV) Fortinet. L’exploitation de ces identifiants pourrait permettre à des acteurs malveillants d’obtenir un accès à distance aux appareils touchés et aux réseaux connectés, ainsi que de modifier divers paramètres système, y compris des contrôles de sécurité critiques.

Mesures recommandées

Le Centre pour la cybersécurité recommande fortement aux organisations de :

• Dresser l’inventaire de tous les comptes sur les appareils Fortinet, repérer les comptes non autorisés ou suspects (p. ex.,forticloud-sync, forticloud-tech) et désactiver ou supprimer les comptes suspects ou inutiles.
• Restreindre l’accès aux interfaces de gestion aux seuls réseaux et hôtes de confiance.
• Mettre fin à toutes les sessions SSL VPN et aux sessions administratives actives.
• Réinitialiser les mots de passe de tous les comptes VPN et administratifs Fortinet.
• Appliquer l’authentification multifacteur (AMF) sur toutes les passerelles externes et interfaces d’administration.
• S’assurer que tous les appareils Fortinet exécutent la version la plus récente du micrologiciel. Vérifier en particulier l’application des correctifs liés à la CVE-2024-55591 (obtention de privilèges élévés)^{Note de bas de page 5}, ainsi que les CVE-2025-59718^{Note de bas de page 6} et CVE-2025-59719^{Note de bas de page 7} (contournement d’authentification)^{Note de bas de page 8}.

De plus, le Centre pour la cybersécurité recommande fortement aux organisations de revoir et de mettre en œuvre les 10 mesures de sécurité des TI du Centre pour la cybersécurité, en mettant l’accent sur les domaines suivants ^{Note de bas de page 9}.

• Intégrer, surveiller et défendre les passerelles Internet
• Appliquer des correctifs aux applications et aux systèmes d’exploitation;
• Mettre en vigueur la gestion des privilèges d’administrateurs;
• Renforcer les systèmes d’exploitation et les applications.

Toute activité correspondante doit être signalée via Mon cyberportail ou par courriel à contact@cyber.gc.ca.

Numéro de série : AV26-614
Date : 17 juin 2026

Le 17 juin 2026, Splunk a publié des bulletins de sécurité visant à corriger des vulnérabilités liées au produit suivant. Ces mises à jour de sécurité comprenaient un correctif critique pour le produit suivant :

• Splunk AI Toolkit – versions antérieures à7.4.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci‑dessous et d'appliquer les mises à jour nécessaires.

• OS Command Injection in the btool Configuration Helper in Splunk AI Toolkit (en anglais seulement)
• Splunk Security Advisories (en anglais seulement)

Numéro de série : AV26-613
Date : 17 juin 2026 

Le 17 juin 2026, Cisco a publié des avis de sécurité pour traiter des vulnérabilités dans plusieurs produits. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

Cisco ISE (Identity Services Engine) et Cisco ISE-PIC (Passive Identity Connector)

• Cisco ISE and ISE-PIC Release prior to 3.3 - toutes les versions;
• Cisco ISE and ISE-PIC Release 3.3 - versions antérieures à 3.3 Patch 11;
• Cisco ISE and ISE-PIC Release 3.4 - versions antérieures à 3.4 Patch 6;
• Cisco ISE and ISE-PIC Release 3.5 - versions antérieures à 3.5 Patch 4 (August 2026).

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires, lorsqu’elles sont disponibles.

• Cisco Identity Services Engine Remote Code Execution and Information Disclosure Vulnerabilities (en anglais seulement)
• Cisco Security Advisories (en anglais seulement)

Numéro de série : AV26-612
Date : 17 juin 2026 

Le 17 juin 2026, F5 a publié un bulletin de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• F5 DoS for NGINX - version 4.9.0;
• F5 WAF for NGINX Instance Manager - de la version 5.9.0 à 5.13.1;
• NGINX App Protect DoS - de la version 4.3.0 à 4.7.0;
• NGINX App Protect WAF - de la version 5.2.0 à 5.8.0 et version 4.10.0 à 4.16.0;
• NGINX Open Source - de la version 1.30.0 à 30.2 et version 1.31.0 à 1.31.1;
• NGINX Instance Manager - de la version 2.17.0 à 2.22.0;
• NGINX Gateway Fabric - multiples versions;
• NGINX Ingress Controller - multiples versions;
• NGINX Plus - de la version 37.0.0 R33 à 37.01 R36.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• K000161614: Out-of-band Security Notification (June 17, 2026) (en anglais seulement)
• MyF5 (en anglais seulement)

Numéro de série : AV26-611
Date : 17 juin 2026

Le 17 juin 2026, Mitel a publié un bulletin de sécurité visant à corriger des vulnérabilités liées aux produits suivants. Ces mises à jour de sécurité comprenaient des correctifs critiques pour les produits suivants :

• MiCollab – multiples versions;
• MiVoice Business Solution Virtual Instance (MiVB SVI) – version 2.1.0.9-2 et versions antérieures.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• Mitel Product Security Advisory MISA-2026-0005 (en anglais seulement)
• Mitel Security Bulletins (en anglais seulement)

Numéro de série : AV26-610
Date : 17 juin 2026

Le 16 juin 2026, Moxa a publié un bulletin de sécurité visant à corriger des vulnérabilités liées aux produits suivants :

• NPort 6000-G2 Series - version v1.1.0 et versions antérieures;
• NPort W2150A-W4/W2250A-W4 Series - version micrologicielle 5 et versions ultérieures;
• NPort W2150A/W2250A Series - version micrologicielle 3 et versions ultérieures.

Le Centre pour la cybersécurité recommande aux utilisatrices, aux utilisateurs, aux administratrices et aux administrateurs de consulter les pages Web ci-dessous et d’appliquer les mises à jour nécessaires.

• CVE-2026-10825: Improper Validation of Input Vulnerability in Serial Device Servers (en anglais seulement)
• CVE-2026-10828, CVE-2026-10829: Use of Externally-Controlled Format String and Stack-based Buffer Overflow Vulnerabilities in Serial Device Servers (en anglais seulement)
• Moxa Security Advisories (en anglais seulement)