<p>Le CERT-FR a signalé le 24 août 2026 de nouvelles vulnérabilités dans LibreNMS, outil de supervision réseau très répandu chez les prestataires...
Trois semaines après un premier avis sur le même outil, le CERT-FR remet LibreNMS sur la liste. Pour une PME, la répétition est en soi l'information: un logiciel de supervision installé une fois puis oublié ne reste pas sûr indéfiniment, et il a besoin d'un cycle de mise à jour comme n'importe quel serveur métier. Selon l'avis CERTFR-2026-AVI-1076 publié le 24 août 2026, plusieurs vulnérabilités affectent LibreNMS, outil libre de supervision réseau. Elles permettent, d'après cet avis, une atteinte à la confidentialité des données et un contournement de la politique de sécurité. Toutes les versions antérieures à la 26.8.0 sont concernées.
L'agence s'appuie sur deux avis de sécurité publiés la veille, le 23 août 2026, par le projet LibreNMS lui-même, sous les références GHSA-3hvv-wxpw-cx83 et GHSA-cvq8-gqfq-3mvg. La publication par l'éditeur constitue une confirmation indépendante de celle de l'agence française. À la date de consultation, ni le CERT-FR ni l'éditeur ne signalent d'exploitation en conditions réelles. Ce statut peut changer et reste à revérifier sur la page de l'avis. Pour surveiller un réseau, il faut d'abord le connaître entièrement. Une console de supervision rassemble donc l'inventaire des équipements, les adresses IP, la topologie des liaisons et, très souvent, les identifiants qui servent à interroger commutateurs, pare-feux, points d'accès et serveurs.
Un accès non autorisé à cet outil ne provoque pas d'arrêt de production spectaculaire. Il donne quelque chose de plus utile à un attaquant: une carte détaillée du système d'information, qui transforme une intrusion approximative en opération ciblée. C'est aussi une machine qui échappe aux inventaires, parce qu'aucun utilisateur ne la réclame et que personne ne la voit tomber en panne. Cet angle mort est précisément ce qui rend ce type de vulnérabilité durable.
Ce qu'il faut vérifier
Si vous ne savez pas si LibreNMS tourne dans votre parc, la question se pose à votre prestataire d'infogérance: cet outil est le plus souvent déployé par lui, parfois plusieurs années avant qu'on s'y intéresse à nouveau.
- Demander si LibreNMS supervise votre parc et, si oui, dans quelle version exacte.
- Planifier la montée en version vers 26.8.0 ou supérieure, après sauvegarde de la configuration et de la base, en validant hors production lorsque c'est possible.
- Vérifier que l'interface de supervision n'est pas joignable depuis Internet et la restreindre au réseau interne ou à un accès par VPN.
- Activer l'authentification multifacteur sur les comptes d'administration de l'outil et supprimer les comptes de test ou de démonstration.
- Recenser tous les outils d'administration internes — supervision, sauvegarde, inventaire, prise en main à distance — et inscrire chacun dans un cycle de mise à jour documenté.
- S'abonner aux avis du CERT-FR pour recevoir les prochains bulletins sans attendre qu'un tiers les relaie.
Les références de versions et les mesures ci-dessus sont indicatives à la date de cet article: elles sont à valider sur votre infrastructure avant toute application en production. La vraie question n'est pas celle de cette faille-ci. Elle est de savoir si les outils qui administrent votre réseau figurent quelque part sur une liste, avec un responsable et une date de dernière mise à jour. Deux avis en trois semaines sur le même logiciel montrent qu'un correctif appliqué en août ne dispense pas de regarder à nouveau en septembre.
- CERT-FR, avis CERTFR-2026-AVI-1076, publié le 24 août 2026.
- LibreNMS, avis de sécurité GHSA-3hvv-wxpw-cx83 et GHSA-cvq8-gqfq-3mvg, publiés le 23 août 2026.
Synthèse rédactionnelle originale de TICLIC, établie à partir de la veille du 26 août 2026 et des sources citées ci-dessus. Faute d'accès à une recherche externe au moment de la rédaction, aucun recoupement n'a pu être effectué au-delà de ces deux sources: la liste des versions affectées et l'absence d'exploitation constatée sont à vérifier sur l'avis du CERT-FR, qui reste la référence tenue à jour.