Veille cybersécurité du 21 septembre 2026
Cette synthèse reprend uniquement les avis CERT-FR publiés ou mis à jour entre le 17 et le 18 septembre 2026 dans les sources fournies. Pour une PME, l’objectif n’est pas de traiter tous les sujets au même niveau, mais de hiérarchiser les corrections selon l’exposition réelle : vulnérabilités déjà exploitées, postes et navigateurs, puis équipements, serveurs et applications accessibles depuis le réseau ou Internet.
Le point le plus sensible de la semaine concerne des produits Cisco. Le CERT-FR indique que Cisco signale l’exploitation active de la vulnérabilité CVE-2026-76460. Cette information change la priorité opérationnelle : lorsqu’un produit concerné est présent dans l’entreprise, il faut sortir du cycle habituel de maintenance et organiser une vérification rapide, puis une mise à jour selon les bulletins de l’éditeur.
Priorité 1 : produits Cisco avec exploitation active signalée
L’avis CERT-FR du 17 septembre 2026 porte sur plusieurs vulnérabilités dans des produits Cisco, notamment Adaptive Security Appliance, Firewall Management Center, Firewall Threat Defense, ISE et ISE-PIC. Les risques mentionnés sont larges : exécution de code arbitraire à distance, élévation de privilèges, déni de service à distance, injection SQL, atteinte à la confidentialité ou à l’intégrité des données, contournement de politique de sécurité et risque non spécifié par l’éditeur.
Pour une PME, ces produits peuvent se trouver à des emplacements critiques : pare-feu, gestion de sécurité, accès réseau ou authentification. Une indisponibilité ou une compromission à ce niveau peut avoir des effets transverses sur l’activité. Le CERT-FR précise aussi plusieurs branches affectées pour Cisco ISE et ISE-PIC, avec des seuils de correctifs à atteindre : ISE ou ISE-PIC 3.4 avant 3.4 Patch 7, ISE 3.5 avant 3.5 Patch 4, ISE 3.3 avant 3.3 Patch 12, ISE 3.2 avant 3.2 Patch 11 et ISE 3.1 avant 3.1 Patch 12.
Point d’attention important : selon l’avis, Cisco indique que les versions 3.2 et 3.1 d’ISE ne seront plus supportées à partir du 30 novembre 2027 et n’ont pas reçu de correctif pour certaines vulnérabilités listées par le CERT-FR. La branche 3.0 n’est plus supportée depuis le 13 juillet 2025. Pour ISE-PIC, l’éditeur indique que le produit n’est plus commercialisé et que la version 3.4 est la dernière encore maintenue. Une PME concernée doit donc traiter à la fois le correctif immédiat et la trajectoire de version maintenue.
Priorité 2 : postes de travail et navigateur Google Chrome
Le CERT-FR a publié le 18 septembre 2026 un avis concernant Google Chrome. Les versions affectées sont les versions antérieures à 153.0.8010.52 pour Linux et Windows, et les versions antérieures à 153.0.8010.53 pour Mac. Le risque est indiqué comme non spécifié par l’éditeur, avec la possibilité pour un attaquant de provoquer un problème de sécurité non précisé.
Concrètement, Chrome est présent sur de nombreux postes, parfois hors du périmètre strictement administré lorsque les mises à jour automatiques ne sont pas suivies ou que certains postes restent rarement connectés au réseau de l’entreprise. Même lorsque le détail technique n’est pas public dans l’avis CERT-FR, le navigateur reste une cible prioritaire car il est exposé à des contenus externes au quotidien. La bonne pratique consiste à vérifier la version réellement installée, pas seulement la politique théorique de mise à jour.
Priorité 3 : serveurs et applications exposés
Nextcloud Server
L’avis CERT-FR du 17 septembre 2026 signale une vulnérabilité dans Nextcloud Server permettant une exécution de code arbitraire à distance. Les versions affectées couvrent plusieurs branches de Nextcloud Server et Nextcloud Enterprise, avec des versions correctives propres à chaque branche, notamment 32.0.x avant 32.0.13, 33.0.x avant 33.0.7 et 34.0.x avant 34.0.2 pour Nextcloud et Nextcloud Enterprise. D’autres branches Enterprise plus anciennes sont également listées dans l’avis.
Pour une PME qui utilise Nextcloud comme espace de partage, de synchronisation ou de collaboration, la criticité dépend notamment de l’exposition du service et des usages internes. L’exécution de code à distance justifie une vérification rapide de version et une lecture attentive du bulletin de sécurité de l’éditeur référencé par le CERT-FR avant intervention.
WordPress
L’avis CERT-FR du 18 septembre 2026 concerne WordPress avant la version 7.1.1. Les risques mentionnés sont l’atteinte à la confidentialité des données, le contournement de la politique de sécurité et l’injection de code indirecte à distance de type XSS. Pour une PME, WordPress est souvent utilisé pour le site vitrine, un espace de publication ou des pages marketing. Même si l’avis ne décrit pas ici de scénario d’exploitation détaillé, l’exposition publique d’un site impose de ne pas différer la mise à jour lorsque la version est concernée.
Drupal
L’avis CERT-FR du 17 septembre 2026 porte sur Drupal. Les versions affectées sont Drupal 11.4.x avant 11.4.7, Drupal 11.x avant 11.3.17 et Drupal avant 10.6.17. Le risque indiqué est une injection de code indirecte à distance de type XSS. Comme pour WordPress, la priorité dépend de l’exposition du site, des rôles utilisateurs et des modules réellement utilisés, mais la correction du cœur applicatif reste un prérequis avant d’analyser plus finement les extensions et développements spécifiques.
Actions concrètes à lancer cette semaine
- Identifier les produits Cisco concernés : ASA, FMC, FTD, ISE et ISE-PIC. En présence de la vulnérabilité
CVE-2026-76460ou d’une version listée dans l’avis, prioriser le traitement. - Contrôler les versions ISE et ISE-PIC : vérifier les niveaux de patch indiqués par le CERT-FR et anticiper les versions non maintenues ou en fin de support annoncée.
- Vérifier Chrome sur Windows, Linux et Mac : confirmer que les postes ont atteint les versions corrigées indiquées dans l’avis CERT-FR, y compris les postes peu connectés.
- Mettre à jour les services exposés : Nextcloud Server, WordPress et Drupal doivent être comparés aux versions affectées avant toute planification différée.
- Sauvegarder avant intervention : pour les CMS et serveurs collaboratifs, prévoir sauvegarde, test de restauration et fenêtre de maintenance adaptée.
- Consulter les bulletins officiels référencés : les avis CERT-FR renvoient aux bulletins éditeurs pour les correctifs, les prérequis et les éventuelles limites de version.
- Documenter la décision : noter les versions observées, les correctifs appliqués, les systèmes non concernés et les cas nécessitant une analyse complémentaire.
La priorité de la semaine est donc claire : traiter d’abord les environnements Cisco concernés par une vulnérabilité signalée comme exploitée, puis confirmer la mise à jour de Chrome sur les postes, et enfin corriger les applications serveur exposées, en particulier Nextcloud, WordPress et Drupal lorsque les versions indiquées par le CERT-FR sont présentes.
