La priorité de maintenance est claire cette semaine : les serveurs Zimbra qui utilisent les notifications SNMP doivent être considérés comme potentiellement exposés à CVE-2026-73570. L’exploitation est confirmée et le correctif ne suffit pas à lui seul si la machine a déjà été compromise. Il faut mettre à jour, puis chercher les traces laissées avant le patch.
Deux autres lots de correctifs méritent un inventaire rapide. Next.js corrige deux exécutions de code à distance sans authentification, mais les conditions diffèrent : l’une vise les serveurs Windows, l’autre l’optimisation d’images AVIF. Ubiquiti publie de son côté un bulletin de 22 vulnérabilités réparties entre UniFi OS, Protect, Network, Access, Talk, Connect et plusieurs équipements.
Les annonces Unraid 8 et LibreOffice 26.8 sont moins urgentes. La première prépare une migration technique importante, sans version stable à installer aujourd’hui. La seconde apporte beaucoup de changements utiles, mais The Document Foundation recommande encore la branche 26.2 maintenue pour les environnements de production.
En bref#
- Zimbra : passer à 10.1.20 au minimum si le paquet SNMP est installé et que les notifications sont actives. Vérifier ensuite les journaux et fichiers récents, car l’exploitation est confirmée.
- Next.js : mettre à jour vers 15.5.24 ou 16.3.3 au minimum. Les applications hébergées sous Windows et celles qui optimisent des images AVIF passent en tête de file.
- UniFi : mettre à jour le système, les applications et les appareils selon le bulletin 067. Une simple mise à jour de l’application Network ne couvre pas les failles Protect, Access ou UniFi OS.
- Unraid 8 : ne rien migrer pour l’instant. La version est annoncée, mais n’est pas encore disponible en stable. Préparer surtout l’inventaire des plugins et personnalisations qui dépendent de Slackware.
- LibreOffice 26.8 : tester les documents complexes avant un déploiement en parc. Pour un poste de production, rester temporairement sur 26.2.5 puis 26.2.6 est le choix recommandé par le projet.
Zimbra : CVE-2026-73570 est activement exploitée#
CVE-2026-73570 est une injection de commandes dans le composant de supervision SNMP de Zimbra Collaboration Suite. Un attaquant non authentifié peut envoyer des requêtes SMTP spécialement construites et faire exécuter des commandes avec les droits de l’utilisateur système zimbra.
Toutes les installations Zimbra ne sont pas exploitables de la même façon. Le scénario exige trois éléments :
- une version antérieure à 10.1.20 ;
- le paquet optionnel
zimbra-snmpinstallé ; - les notifications SNMP activées, avec le service de surveillance en fonctionnement.
Ce n’est donc pas une RCE générique contre chaque serveur qui expose SMTP. La configuration vulnérable reste toutefois suffisamment fréquente pour que CERT Polska confirme une campagne active et que Shadowserver diffuse désormais des rapports sur les instances vulnérables et compromises.
Vérifier la version et l’état des composants avec le compte Zimbra :
sudo -iu zimbra -- zmcontrol -v
sudo -iu zimbra -- zmlocalconfig snmp_notify
sudo -iu zimbra -- zmcontrol status | rg 'snmp|swatch'La version corrective est Zimbra 10.1.20. Les branches plus anciennes non supportées peuvent contenir le même défaut sans recevoir de correctif. Il faut les migrer vers une branche maintenue au lieu de chercher uniquement un paquet ponctuel portant le même numéro de version.
Après la mise à jour, l’analyse doit remonter avant l’heure d’installation du correctif. CERT Polska recommande notamment de chercher dans /var/log/zimbra.log les changements d’état contenant une charge injectée :
sudo zgrep -En 'Service status change: .* changed from (stopped to running|running to stopped)' \
/var/log/zimbra.log*Il faut aussi contrôler les fichiers créés récemment par l’utilisateur zimbra dans les répertoires web et temporaires :
sudo find /opt/zimbra/jetty/webapps /opt/zimbra/jetty_base/webapps /tmp \
-xdev -user zimbra -mtime -30 -ls 2>/dev/nullUn résultat n’est pas automatiquement malveillant. Il faut comparer avec les paquets installés, les dates de maintenance et les sauvegardes. En revanche, un fichier web inattendu ou une commande intégrée à un message de changement d’état justifie d’isoler la machine et de lancer une réponse à incident complète. Réinstaller uniquement le paquet Zimbra ne restaure pas la confiance dans un hôte déjà compromis.
Alerte CERT Polska et indicateurs de vérification
Rapports Shadowserver sur les instances Zimbra vulnérables
Next.js corrige deux exécutions de code à distance#
Next.js publie les versions 15.5.24 et 16.3.3 pour corriger deux vulnérabilités distinctes. Les deux sont exploitables sans authentification, mais aucune ne concerne indistinctement tous les déploiements Next.js.
La première, CVE-2026-75604, touche les applications Pages Router et App Router sans Cache Components lorsque le serveur utilise un système de fichiers Windows. Une traversée de chemin peut conduire à l’exécution de code à distance. L’avis lui attribue un score CVSS 3.1 de 9,0, avec une complexité d’attaque élevée.
Les versions concernées sont :
- Next.js 13.4 à 15.5.23 ;
- Next.js 16.0 à 16.3.2.
Il n’existe pas de contournement documenté pour un serveur Windows vulnérable. L’action est donc de mettre à jour, même si l’application se trouve derrière un reverse proxy ou une authentification applicative.
La seconde faille se trouve dans libheif, utilisé par sharp pour l’optimisation des images AVIF. Le traitement d’un fichier AVIF malveillant peut mener à une RCE lorsque l’application accepte ou optimise ce format. L’avis Next.js ne lui attribue pas encore d’identifiant CVE, mais le score CVSS 4.0 publié est de 9,5.
Cette seconde plage affectée est plus large :
- Next.js 10.0 à 15.5.23 ;
- toutes les versions 16 antérieures à 16.3.3.
Next.js a désactivé l’optimisation AVIF en attendant la propagation du correctif. Cette mesure réduit la surface, mais la cible propre reste là encore 15.5.24 ou 16.3.3 au minimum.
Inventorier la version réellement résolue dans un projet :
npm ls next --depth=0Avec pnpm :
pnpm list next --depth=0Il faut vérifier le lockfile et l’image effectivement déployée, pas seulement la contrainte déclarée dans package.json. Un pipeline peut continuer à publier une ancienne couche Docker alors que la branche source contient déjà une dépendance corrigée.
Après reconstruction, je testerais au minimum le rendu des images, les routes dynamiques et la purge du cache. Pour les applications Windows ou celles qui acceptent des images fournies par des utilisateurs, la mise à jour ne doit pas attendre le prochain cycle fonctionnel.
Next.js - CVE-2026-75604, RCE sur les serveurs Windows
Next.js - RCE lors de l’optimisation AVIF
UniFi : un bulletin de 22 vulnérabilités à lire par produit#
Le bulletin de sécurité 067 d’Ubiquiti regroupe 22 vulnérabilités. Le nombre impressionne, mais il faut éviter d’en faire une seule faille universelle. Les produits, versions et privilèges nécessaires varient selon chaque entrée.
Les scénarios les plus sévères comprennent notamment :
- des injections de commandes dans UniFi Protect et UniFi Access accessibles avec un accès réseau et de faibles privilèges ;
- des élévations de privilèges sur plusieurs appareils et instances UniFi OS ;
- une injection de commandes dans UniFi Network avec des privilèges élevés ;
- un contournement d’authentification UniFi OS sous certaines conditions ;
- d’autres défauts affectant Talk, Connect et des équipements adoptés.
Les premières entrées publiées ont un score de 9,9, mais elles exigent un compte faiblement privilégié. Ce n’est pas équivalent à une compromission sans authentification depuis Internet. Le risque reste élevé sur une console partagée, un réseau d’administration accessible à trop d’utilisateurs ou une instance exposée inutilement.
Les versions minimales citées pour les principaux composants sont :
- UniFi Protect 7.2.105 ;
- UniFi Network 10.5.67 ;
- UniFi Access 4.3.5 ;
- UniFi OS Server 5.1.37 ;
- UniFi OS 5.1.31 sur les Cloud Keys, Dream Machines, NVR, passerelles et équipements listés ;
- UniFi OS 5.1.32 pour les NAS concernés.
Cette liste ne remplace pas les 22 lignes du bulletin. Un site peut faire tourner plusieurs applications sur le même équipement, chacune avec sa propre version. Il faut donc ouvrir le gestionnaire de mises à jour, inventorier le système, les applications et le firmware des appareils, puis comparer chaque composant au tableau Ubiquiti.
Avant la maintenance, exporter une sauvegarde de la configuration et vérifier qu’elle est téléchargeable hors de la console. Sur un site distant, prévoir aussi un accès de secours : une mise à jour de passerelle, de contrôleur ou de switch peut interrompre la connectivité nécessaire pour terminer l’opération.
Après mise à jour, contrôler les comptes administrateurs, les rôles délégués, les appareils nouvellement adoptés et les changements de configuration récents. Le bulletin ne signale pas d’exploitation active. Il n’y a donc pas lieu de déclarer chaque site compromis, mais les consoles exposées et les comptes de faible privilège nombreux méritent une revue prioritaire.
Ubiquiti - Security Advisory Bulletin 067
Unraid 8 passera de Slackware à Fedora uCore#
Unraid 8 change la base du système. Le projet abandonnera Slackware au profit de Fedora, via uCore d’Universal Blue, tout en conservant son modèle de système immuable.
L’objectif annoncé est de séparer plus proprement l’OS de la couche Unraid et de publier plus rapidement les correctifs de sécurité. Le projet prévoit aussi de laisser choisir entre un noyau stable à support long et un noyau plus récent pour le matériel qui en a besoin.
Les autres nouveautés annoncées sont concrètes :
- prise en charge native de Docker Compose dans Community Apps ;
- sauvegarde intégrée vers un autre serveur Unraid, un stockage S3 ou le cloud, avec snapshots et restauration complète ;
- permissions déclarées pour les plugins ;
- SDK pour les développeurs de plugins ;
- interface harmonisée entre le serveur, le compte et le catalogue d’applications ;
- support matériel élargi grâce à la nouvelle base.
Le point important est le calendrier : Unraid 8 n’est pas encore une version stable. Le projet prévoit d’abord des échanges avec les développeurs communautaires, une bêta fermée, une bêta ouverte puis des release candidates. Il n’y a donc aucune migration à déclencher aujourd’hui sur un NAS de production.
Le travail utile consiste plutôt à inventorier ce qui dépend de Slackware ou modifie l’OS sous-jacent :
- plugins non officiels ;
- paquets ajoutés manuellement ;
- scripts qui supposent la présence d’un chemin ou d’un outil Slackware ;
- montages et droits particuliers autour de Docker ;
- procédures de sauvegarde qui ne couvrent que la clé USB ou la configuration.
Le passage à Fedora ne garantit pas à lui seul des correctifs plus rapides sur toute la pile. Le noyau, les paquets de base, la couche Unraid, les plugins et les conteneurs conservent des cycles distincts. La nouvelle architecture devrait faciliter la maintenance, mais il faudra juger le résultat sur les images effectivement livrées.
LibreOffice 26.8 travaille surtout la fidélité documentaire#
LibreOffice 26.8 est une version majeure centrée sur la typographie, les systèmes d’écriture complexes et les échanges avec Microsoft Office. Le discours « sans IA » a beaucoup circulé, mais les changements opérationnels les plus intéressants se trouvent ailleurs.
Writer ajoute un moteur de composition de paragraphe qui répartit l’espacement sur plusieurs lignes, le support natif des polices OpenType variables et une meilleure gestion des textes bidirectionnels. Calc reçoit des champs calculés dans les tableaux croisés dynamiques. Impress et Draw peuvent utiliser plusieurs tailles de page dans un même document.
La compatibilité OOXML progresse avec la conservation de nouveaux types de graphiques Microsoft Office, dont waterfall, treemap, sunburst, Pareto et box-and-whisker. LibreOffice ne sait pas encore tous les afficher ni les modifier. Il préserve leur définition lors d’un aller-retour, ce qui est utile, mais ne remplace pas un test visuel dans l’application d’origine.
Deux changements peuvent surprendre un parc existant :
- les polices Gentium Basic et Gentium Book Basic ne sont plus incluses ;
- les nouveaux documents utilisent un alignement relatif au sens d’écriture plutôt qu’un alignement gauche par défaut.
Vérifier la version installée :
libreoffice --versionPour une équipe qui échange beaucoup de DOCX, XLSX et PPTX, le bon test n’est pas seulement d’ouvrir un fichier. Il faut l’ouvrir, le modifier, l’enregistrer puis le relire dans Microsoft Office ou dans la chaîne documentaire cible. Les polices, graphiques, champs, macros et sauts de page doivent être inclus dans l’échantillon.
The Document Foundation indique elle-même que les environnements de production peuvent préférer LibreOffice 26.2.5. La version 26.2.6 est annoncée pour le 3 septembre. Une migration immédiate vers 26.8 n’apporte donc pas de bénéfice évident à un parc qui privilégie la stabilité.
Notes de publication LibreOffice 26.8
Signaux de veille cette semaine#
Ubuntu 26.04.1 LTS publie de nouvelles images d’installation. Cette première point release regroupe les correctifs de sécurité publiés jusqu’au 25 août et plusieurs corrections d’installation. Les machines déjà sous 26.04 reçoivent ces paquets par les mises à jour ordinaires : réinstaller l’ISO n’apporte rien. Pour les postes sous 24.04 LTS, Canonical prévoit de proposer la migration automatique quelques semaines plus tard, après des rétroportages destinés à traiter des régressions dans rust-coreutils. Il est raisonnable d’attendre l’ouverture officielle du chemin de migration.
Backblaze B2 activera le chiffrement serveur par défaut le 14 septembre. Les nouveaux objets et copies utiliseront SSE-B2 avec AES-256 lorsque l’application ne demande pas explicitement SSE-C. Le changement n’est pas rétroactif : les objets déjà stockés conservent leur état. Ce chiffrement protège les données au repos côté fournisseur, mais ne remplace ni le chiffrement client pour les données sensibles, ni la protection des clés et comptes donnant accès aux objets.
AppFlowy auto-hébergé conserve une injection SQL authentifiée. CVE-2026-16007 touche la recherche Quick Note : le paramètre search_term est ajouté directement à une requête PostgreSQL. Un utilisateur authentifié peut lire, modifier ou supprimer des données de la base. Au 28 août, le code vulnérable est toujours présent sur la branche principale publique et aucun correctif communautaire n’est documenté. Le risque augmente fortement lorsque les inscriptions sont ouvertes. En attendant une réponse amont vérifiable, il faut fermer les inscriptions et limiter l’instance à un petit groupe de comptes de confiance. Si des utilisateurs non fiables disposent déjà d’un compte, une restriction réseau ne suffit pas : mieux vaut arrêter le service ou désactiver la fonction concernée si le déploiement le permet.
Nitter a été archivé le 26 août. Le dépôt officiel est désormais en lecture seule. Les instances existantes ne cessent pas immédiatement de fonctionner, mais elles ne recevront plus de correctifs amont depuis ce dépôt. Il faut supprimer l’exposition inutile, figer les images par digest plutôt que suivre latest, et décider rapidement entre un fork réellement maintenu et le retrait du service.
Ubuntu 26.04.1 LTS - annonce officielle
Backblaze B2 - chiffrement des nouveaux objets par défaut
CVE-2026-16007 - analyse technique d’AppFlowy
Les pépites de la semaine#
LAN Orangutan fournit un inventaire réseau léger à partir de nmap, avec étiquettes persistantes, groupes, historique et intégration Tailscale. L’application existe en binaire unique et en conteneur. Le déploiement Docker utilise le réseau de l’hôte pour voir le LAN, tandis que la découverte complète des adresses MAC demande des privilèges élevés. L’interface doit donc rester sur un réseau d’administration, avec son mot de passe initial configuré et une sauvegarde du répertoire de données.
TapMap observe les sockets locaux, associe les IP à une géolocalisation et affiche les connexions sur une carte. Les données et bases GeoIP restent locales. Ce n’est ni un pare-feu ni un IDS : l’outil aide surtout à repérer une nouvelle destination, un port d’écoute oublié ou une habitude réseau inhabituelle. Le conteneur Linux demande --network host et --pid host, ce qui justifie de lire le fichier Compose avant de le laisser tourner en permanence.
Gravity est un simulateur de système solaire en TypeScript et Three.js, utilisable hors ligne après le build. Il propose un parcours guidé, un mode à l’échelle réelle et deux modèles physiques, képlérien ou N-corps. Ce n’est pas un outil d’infrastructure, mais c’est un bon exemple d’application web statique auto-hébergeable qui ne nécessite ni base, ni compte, ni service externe.
Commande du jour#
apt-get -s dist-upgradeL’option -s simule la résolution de la mise à jour sans télécharger ni installer de paquet. Elle permet de voir les paquets ajoutés, retirés, conservés ou mis à niveau avant une maintenance Debian ou Ubuntu.
La simulation utilise l’état actuel des index APT. Elle ne remplace donc pas un apt update exécuté au moment prévu par la procédure de maintenance, et elle ne prédit pas les scripts de post-installation ni tous les effets applicatifs du redémarrage.
Conclusion#
La priorité immédiate est Zimbra : identifier les instances avec SNMP actif, installer 10.1.20 et rechercher des traces de compromission antérieures au patch. Les applications Next.js doivent ensuite être reconstruites avec 15.5.24 ou 16.3.3, en commençant par Windows et les services qui traitent des images AVIF. Pour UniFi, l’inventaire doit couvrir chaque application et chaque équipement, pas seulement la version du contrôleur Network.
Unraid 8 reste une annonce à préparer, pas une migration à lancer. LibreOffice 26.8 mérite des tests de fidélité documentaire, tandis que la branche 26.2 maintenue reste adaptée à la production. Enfin, les cas AppFlowy et Nitter rappellent une contrainte simple du self-hosting : l’accès au code ne garantit ni un correctif publié, ni la continuité de maintenance.
Sources#
- Zimbra - Security Advisories
- CERT Polska - exploitation active de CVE-2026-73570
- Shadowserver - Vulnerable HTTP Report
- Shadowserver - Compromised Website Report
- Next.js - GHSA-p293-qw3h-jr36 / CVE-2026-75604
- Next.js - GHSA-2xp9-vwfh-vxw4
- Ubiquiti - Security Advisory Bulletin 067
- Unraid - Unraid 8 Announced
- The Document Foundation - LibreOffice 26.8
- LibreOffice 26.8 - notes de publication
- Ubuntu - annonce de la version 26.04.1 LTS
- Ubuntu - changements de la point release 26.04.1
- Backblaze - chiffrement SSE-B2 par défaut
- Project Black - CVE-2026-16007 dans AppFlowy
- AppFlowy - code Quick Note toujours vulnérable au 28 août
- Nitter - dépôt archivé
- LAN Orangutan
- TapMap
- Gravity