Multiples vulnérabilités critiques dans OpenSSL : alerte du CERT-FR

Multiples vulnérabilités dans OpenSSL : ce que chaque entreprise doit savoir

Le 10 novembre 2026, le CERT-FR (rattaché à l'ANSSI) a publié un avis de sécurité signalant de multiples vulnérabilités dans OpenSSL, la bibliothèque cryptographique open source la plus répandue au monde. L'alerte concerne pratiquement toutes les branches actives du logiciel et appelle une réaction rapide de la part des équipes informatiques.

Quelles versions sont concernées ?

L'avis du CERT-FR identifie les branches et versions suivantes comme vulnérables :

• OpenSSL versions 1.0.2x antérieures à 1.0.2zt
• OpenSSL versions 1.1.1x antérieures à 1.1.1zk
• OpenSSL versions 3.0.x antérieures à 3.0.24
• OpenSSL versions 3.5.x antérieures à 3.5.10
• OpenSSL versions 4.0.x antérieures à 4.0.4
• OpenSSL versions 4.1.x antérieures à 4.1.1

L'étendue de cette liste illustre à quel point le problème est transversal : peu d'entreprises sont épargnées, qu'elles utilisent des versions anciennes maintenues sous contrat ou des branches récentes.

Quels sont les risques concrets pour une entreprise ?

Le CERT-FR identifie trois types d'impact possibles :

• Déni de service à distance : un attaquant peut provoquer l'indisponibilité d'un service ou d'un serveur exposé, sans authentification préalable. Pour une entreprise, cela signifie une interruption potentielle de ses applications web, de ses API, de ses portails clients ou de ses flux de paiement.
• Atteinte à la confidentialité des données : des informations chiffrées en transit pourraient être exposées. Dans un contexte RGPD, une telle fuite peut entraîner une obligation de notification à la CNIL et exposer l'organisation à des sanctions.
• Contournement de la politique de sécurité : les mécanismes de contrôle d'accès ou de validation de certificats peuvent être détournés, remettant en cause la confiance accordée aux échanges chiffrés TLS/SSL — y compris pour les signatures électroniques ou les connexions VPN.