- Plusieurs failles ont été découvertes dans Apache Struts, un composant utilisé dans certaines applications web d’entreprise.
- Ces vulnérabilités pourraient permettre à un attaquant d’exécuter du code à distance, de perturber le service ou d’accéder à des données confidentielles.
- Le CERT-FR signale que les versions 2 du logiciel sont concernées.
De quoi s’agit-il ?
Le CERT-FR a publié le 9 octobre 2026 un avis concernant plusieurs vulnérabilités identifiées dans Apache Struts. Ce logiciel est un cadre de développement (framework) utilisé pour construire des applications web, notamment dans des environnements professionnels.
Concrètement, certaines de ces failles sont sérieuses : selon le CERT-FR, elles pourraient permettre à une personne malveillante d’agir à distance sur les systèmes concernés, sans nécessiter d’accès physique à votre infrastructure.
Quels risques pour votre entreprise ?
Le CERT-FR identifie trois types de risques potentiels :
- Exécution de code arbitraire à distance : un attaquant pourrait prendre la main sur le système exposé.
- Déni de service à distance : le service ou l’application pourrait être rendu indisponible.
- Atteinte à la confidentialité des données : des informations sensibles pourraient être consultées sans autorisation.
Si votre entreprise utilise des applications web développées ou basées sur Apache Struts — notamment en version 2 — ce bulletin vous concerne directement.
Beaucoup de PME pensent ne pas être concernées parce qu’elles n’ont pas installé Apache Struts elles-mêmes. Or, ce composant peut être intégré dans une application métier fournie par un prestataire ou un éditeur tiers. Vérifiez auprès de vos partenaires techniques si vos outils y font appel.
Si vous n’êtes pas sûr que votre entreprise utilise Apache Struts, posez la question à votre prestataire informatique ou à votre développeur. Un simple échange peut éviter de laisser une porte ouverte sans le savoir.
Ce qu’il faut faire concrètement
Vérifiez si vos applications web reposent sur Apache Struts, en particulier en version 2. Si c’est le cas, appliquez sans attendre les correctifs publiés par l’éditeur. Si cette gestion est assurée par un prestataire externe, contactez-le pour vous assurer que la mise à jour a bien été effectuée. Consultez l’avis officiel du CERT-FR pour les détails techniques : CERTFR-2026-AVI-1290.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.