- Plusieurs vulnérabilités ont été identifiées dans Mattermost Server, l’outil de messagerie collaborative open source.
- Ces failles pourraient permettre à un attaquant distant de rendre le service indisponible (déni de service) ou d’accéder à des données confidentielles.
- Si votre PME utilise Mattermost Server, il est recommandé d’agir rapidement.
Ce que l’on sait
Le CERT-FR a publié le 23 septembre 2026 un avis signalant la découverte de plusieurs vulnérabilités dans Mattermost Server. Selon les informations disponibles, ces failles permettraient à un attaquant de provoquer deux types d’impact distincts :
- Un déni de service à distance : le service Mattermost pourrait être rendu inaccessible, perturbant la communication interne de votre équipe.
- Une atteinte à la confidentialité des données : des informations potentiellement sensibles échangées via la plateforme pourraient être exposées.
Le CERT-FR ne précise pas dans cet avis le niveau de complexité requis pour exploiter ces failles ni les versions exactes concernées. Il convient donc de consulter directement l’avis officiel et les notes de version de Mattermost pour obtenir ces détails.
Beaucoup de PME pensent que Mattermost, étant hébergé en interne, est « protégé par défaut ». Ce n’est pas le cas : une instance auto-hébergée non mise à jour reste exposée aux mêmes risques que n’importe quel logiciel non corrigé.
Si vous utilisez Mattermost via un prestataire ou un hébergeur, contactez-le pour savoir si les correctifs ont déjà été appliqués. Vous n’avez pas forcément à agir vous-même, mais vous avez le droit de demander une confirmation écrite.
Ce qu’il faut faire concrètement
Vérifiez si votre organisation utilise Mattermost Server et, si c’est le cas, consultez l’avis officiel du CERT-FR pour prendre connaissance des recommandations à jour. Appliquez les correctifs ou mises à jour disponibles dès que possible, ou demandez à votre prestataire informatique de le faire. En attendant, restez vigilant sur les échanges sensibles réalisés via cet outil.
Source : CERT-FR – CERTFR-2026-AVI-1212, publié le 23 septembre 2026.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.