Panorama cybersécurité avril 2026 : alertes CERT-FR actives (F5 BIG-IP, Ivanti EPMM CVE-2026-1281/1340), Patch Tuesday Microsoft, vulnérabilités Fortinet, Mozilla, Linux (Ubuntu/SUSE/Red Hat), bilan fuites de données France, panorama ANSSI 2025. Guide SafeITExperts.

Cyberattaques & vulnérabilités : panorama avril 2026 (CVE, ANSSI, fuites FR) | SafeITExperts

ALERT: Ivanti EPMM CVE-2026-1281/1340 actively exploited F5 BIG-IP APM CVE-2025-53521 RCE — patch now France data breach: OFII (2.1M) & Cegedim Santé (15M) CERT-FR active alerts: 3 (ALE-001, -003, -004) Linux kernel CVSS 9.8 — Ubuntu, SUSE, Red Hat Microsoft Patch Tuesday April 2026: Azure Linux CVE-2026-34714 (CVSS 9.2) GLPI: three critical CVEs (RCE, SQLi, XSS) with public PoC ANSSI 2025 report: 460 possible leaks, 42% confirmed ALERT: Ivanti EPMM CVE-2026-1281/1340 actively exploited F5 BIG-IP APM CVE-2025-53521 RCE — patch now France data breach: OFII (2.1M) & Cegedim Santé (15M) CERT-FR active alerts: 3 (ALE-001, -003, -004) Linux kernel CVSS 9.8 — Ubuntu, SUSE, Red Hat Microsoft Patch Tuesday April 2026: Azure Linux CVE-2026-34714 (CVSS 9.2) GLPI: three critical CVEs (RCE, SQLi, XSS) with public PoC ANSSI 2025 report: 460 possible leaks, 42% confirmed

Menu

Cyberattaques & vulnérabilités
Panorama d'avril 2026

Q: Quelles sont les alertes CERT-FR actives en avril 2026 ?

Trois alertes sont actives au 27 avril 2026 : CERTFR-2026-ALE-001 (Ivanti EPMM, CVE-2026-1281 et CVE-2026-1340, activement exploitées), CERTFR-2026-ALE-003 (campagnes ciblant les comptes de messagerie instantanée des secteurs régaliens) et CERTFR-2026-ALE-004 (F5 BIG-IP APM, CVE-2025-53521, exploitation active confirmée le 29 mars 2026).

Q: Que doit faire une organisation exposant une interface F5 BIG-IP APM sur Internet ?

Appliquer sans délai le correctif publié par F5 pour CVE-2025-53521 (RCE non authentifiée sur BIG-IP APM) et lancer une recherche de compromission en s'appuyant sur les IoC fournis par l'éditeur. Le CERT-FR rappelle qu'exposer une interface d'administration sur Internet est contraire aux bonnes pratiques : limiter l'accès à un bastion ou à un VPN interne.

Q: Quel est le bilan des fuites de données en France début 2026 ?

Selon l'ANSSI (Panorama de la cybermenace 2025 publié en mars 2026), 460 événements de sécurité ont été caractérisés comme possibles fuites de données en 2025, dont 42 % confirmés. En janvier 2026, l'OFII a annoncé le vol de 2,1 millions de dossiers d'étrangers, et la fuite Cegedim Santé a exposé près de 15 millions de Français. La CNIL a par ailleurs sanctionné France Travail de 5 M€ pour défaut de sécurisation des données.

Q: Qu'est-ce que le KEV de la CISA et pourquoi est-ce important ?

Le Known Exploited Vulnerabilities Catalog maintenu par la CISA américaine liste les CVE dont l'exploitation en conditions réelles est confirmée. Une entrée au KEV impose aux agences fédérales américaines un délai de correction court (souvent 21 jours). Pour une organisation française, suivre le KEV reste une bonne pratique : c'est un des meilleurs indicateurs publics pour prioriser les correctifs à appliquer en urgence.

Q: Comment l'IA générative change-t-elle le paysage des cyberattaques en 2026 ?

Dans son rapport CERTFR-2026-CTI-001 publié le 4 février 2026, l'ANSSI observe que l'IA générative est progressivement intégrée à l'outillage des attaquants — rédaction de courriels de phishing plus crédibles, génération de code d'exploitation, automatisation partielle de la reconnaissance. Aucune attaque entièrement autonome n'a cependant été confirmée à ce jour. L'IA agit comme un multiplicateur d'efficacité plutôt que comme une rupture de paradigme.

Alertes CERT-FR actives, exploitations en cours (Ivanti EPMM, F5 BIG-IP), Patch Tuesday, fuites de données en France

27 avril 2026 Mise à jour : 17/04/2026 v1 Lecture : ~14 min 1 Panorama

🚨 CERT-FR 🔓 Ivanti EPMM 🌐 F5 BIG-IP 🪟 Patch Tuesday 🐧 Linux Kernel 🇫🇷 Fuites FR

Table des matières

🚨 Alertes actives

📖 Introduction 🚨 3 alertes CERT-FR en cours 🔓 Ivanti EPMM (ALE-001) 🌐 F5 BIG-IP APM (ALE-004) ✉️ Messagerie instantanée (ALE-003)

📊 Vulnérabilités semaine 15

📊 Tableau CVE critiques 🪟 Patch Tuesday Microsoft 🛡️ Fortinet FortiClientEMS 🦊 Mozilla Firefox/Thunderbird

🐧 Linux & open source

🐧 Noyaux Ubuntu/SUSE/Red Hat 🖨️ CUPS & Apache Tomcat 🎫 GLPI (3 CVE critiques)

🇫🇷 France & ANSSI

💧 Fuites 2026 en France 📈 Panorama ANSSI 2025 🤖 IA et cybermenace

🧰 Actions & ressources

✅ Checklist patching 📌 Conclusion SafeITExperts ❓ FAQ — 7 questions 🔗 Sources officielles 📖 SafeITExperts

1

Panorama cybersécurité — Avril 2026

📖 Introduction

Contexte

Avril 2026 confirme une tendance lourde : les attaquants exploitent activement des vulnérabilités critiques dans les jours qui suivent leur divulgation. Trois alertes CERT-FR sont actuellement ouvertes, le Patch Tuesday d'avril corrige des dizaines de failles Microsoft, et la France traverse une nouvelle vague de fuites massives (OFII, Cegedim Santé, France Travail). Ce panorama synthétise les faits et donne les actions prioritaires pour les équipes IT et les RSSI.

Visualisation 3D cybersécurité : serveur attaqué, alertes actives, verrous numériques — 🔐 Illustration : panorama des cyberattaques avril 2026 – SafeITExperts

Alertes CERT-FR actives

3

Ivanti EPMM, F5 BIG-IP, messagerie instantanée

Avis CERT-FR (sem. 15)

26

Du 06 au 12 avril 2026 (AVI-0399 à AVI-0424)

Événements ANSSI 2025

4 386+

Sur la base 2024 — hausse confirmée en 2025

Amende CNIL — France Travail

5 M€

Sanction du 29 janvier 2026

🚨 Trois alertes CERT-FR en cours

Au 27 avril 2026, trois alertes du CERT-FR sont toujours ouvertes. Une alerte signifie qu'une exploitation active est observée ou qu'une campagne en cours cible des organisations françaises. C'est le signal le plus fort que publie l'ANSSI : la priorité absolue dans la file d'attente patching.

Référence	Produit / Contexte	CVE	Gravité	Publié
CERTFR-2026-ALE-004	F5 BIG-IP APM	CVE-2025-53521	EXPLOITÉE	31/03/2026
CERTFR-2026-ALE-003	Campagnes ciblées messagerie instantanée (secteurs régaliens)	—	CRITIQUE	20/03/2026
CERTFR-2026-ALE-001	Ivanti Endpoint Manager Mobile (EPMM)	CVE-2026-1281, CVE-2026-1340	EXPLOITÉE	30/01/2026

🔓 Ivanti EPMM – CVE-2026-1281 & CVE-2026-1340

Exécution de code à distance sans authentification (CVSS 9.8) via expansion Bash. Exploitation confirmée : Data Protection Authority et Council for the Judiciary néerlandais compromis. Plus de 4 400 instances exposées (Palo Alto).

Versions affectées : 12.5.0.0 à 12.7.0.0.

CERTFR-2026-ALE-001 · KEV CISA

🌐 F5 BIG-IP APM – CVE-2025-53521

RCE non authentifiée sur le module Access Policy Manager. F5 a confirmé l’exploitation active le 29 mars 2026.

Action immédiate : appliquer le correctif et lancer une recherche de compromission avec les IoC fournis par F5.

CERTFR-2026-ALE-004

✉️ Campagnes ciblées messagerie instantanée

Ciblage WhatsApp, Signal, Telegram. Secteurs régaliens visés : personnalités politiques, cadres ministériels, journalistes.

Vecteurs : ingénierie sociale, détournement de QR code d’appairage, logiciels espions mobiles.

CERTFR-2026-ALE-003

Règle SafeITExperts

Ne jamais exposer une interface d’administration (BIG-IP, Ivanti, Fortinet) directement sur Internet. Bastion ou VPN obligatoire.

2

Vulnérabilités critiques — Semaine 15

📊 Tableau récapitulatif — Semaine 15 (06/04 → 12/04)

Le bulletin CERTFR-2026-ACT-017 synthétise les vulnérabilités significatives de la semaine. Ci-dessous l'extrait des CVE de gravité critique ou haute (CVSS ≥ 8.6) publiées ou référencées par le CERT-FR.

Éditeur	Produit	CVE	CVSS	Type	Exploit.
Fortinet	FortiClientEMS	CVE-2026-35616	9.8	Contournement + RCE	Exploitée
Adobe	Acrobat Reader	CVE-2026-34621	8.6	Exécution code	Exploitée
Mozilla	Firefox, Thunderbird (+ ESR)	CVE-2026-5731	9.8	Exécution code	—
Mozilla	Firefox, Thunderbird (+ ESR)	CVE-2026-5734	9.8	Exécution code	—
Mozilla	Firefox, Thunderbird (+ ESR)	CVE-2026-5735	9.8	Exécution code	—
GLPI	GLPI	CVE-2026-26026	9.1	RCE	PoC public
GLPI	GLPI	CVE-2026-26263	9.8	Injection SQL	—
GLPI	GLPI	CVE-2026-26027	7.5	XSS stocké	PoC public
Ubuntu	Noyau Linux Ubuntu	CVE-2025-68263	9.8	Non spécifié	—
Microsoft	Azure Linux	CVE-2026-34714	9.2	Exécution code	—
Juniper	JSI vLWC	CVE-2026-33784	9.3	Contournement sécurité	—
Juniper	CTP OS	CVE-2026-33771	9.1	Contournement sécurité	—
Apache	Tomcat 9 / 10 / 11	CVE-2025-66614	9.1	Contournement sécurité	—

🪟 Microsoft – Azure Linux CVE-2026-34714

CVSS 9.2 · Scope Changed. Exécution de code arbitraire sur Azure Linux 2.0/3.0.

Quatre avis CERT-FR : AVI-0406, AVI-0414, AVI-0420, AVI-0445.

Patch Tuesday Avril 2026

🛡️ Fortinet FortiClientEMS – CVE-2026-35616

Contournement de sécurité + RCE · CVSS 9.8 · Exploitée.

Avis FG-IR-26-099 du 4 avril 2026.

CERTFR-2026-AVI-0400

🦊 Mozilla Firefox & Thunderbird

Trois CVE à CVSS 9.8 (CVE-2026-5731, -5734, -5735). Exécution de code via page web ou courriel.

MFSA 2026-25 à 2026-29.

Pas de PoC public

Rappel

Pour Mozilla : redémarrez le navigateur après mise à jour pour que le correctif soit effectif.

3

Linux & écosystème open source

🐧 Noyaux Linux — Ubuntu, SUSE, Red Hat

Distribution	Avis CERT-FR	CVE notable	CVSS	Action
Ubuntu	AVI-0421	CVE-2025-68263	9.8	`apt full-upgrade`
SUSE / openSUSE	AVI-0422	—	—	`zypper patch`
Red Hat / CentOS	AVI-0423	—	—	`dnf upgrade`

Astuce production

kpatch (Red Hat) et kgraft (SUSE) permettent d’appliquer certains correctifs noyau sans redémarrage.

🖨️ CUPS & Apache Tomcat

CUPS : CVE-2026-34980 (CVSS 6.1) et CVE-2026-34990 (CVSS 5.0) avec PoC public. Apache Tomcat : CVE-2025-66614 (CVSS 9.1) corrigée en versions 9.0.116, 10.1.53, 11.0.20 (CERTFR-2026-AVI-0418).

🎫 GLPI — Trois CVE critiques

RCE (CVE-2026-26026, CVSS 9.1), injection SQL (CVE-2026-26263, CVSS 9.8) et XSS stockée (CVE-2026-26027, CVSS 7.5). PoC publics pour les deux premières. Mise à jour urgente (CERTFR-2026-AVI-0401).

4

France & bilan ANSSI

💧 Fuites de données — Début 2026 en France

Date	Entité	Impact	Source
01/01/2026	OFII	2,1 M de dossiers d'étrangers, vente dark web	Jedha
12/01/2026	Agglomération d'Hénin-Carvin	Cyberattaque, ampleur en cours	Jedha
29/01/2026	France Travail (sanction CNIL)	Amende de 5 M€ (incident 2024)	CNIL
30/01/2026	ManoMano	Fuite via sous-traitant	Jedha
Début 2026	Cegedim Santé	~15 millions de Français, données de santé	01net

Chiffre marquant

Selon 01net, plus de 90 millions de comptes français auraient été touchés par des violations de données début 2026 (doublons inclus).

📈 Panorama ANSSI de la cybermenace 2025

Événements traités (2024)

4 386

+15 % vs 2023 — tendance hausse

Fuites possibles (2025)

460

42 % confirmées, 58 % bluff

Victimes rançongiciels

37 %

PME/TPE/ETI

Alerte téléphones mobiles

Active

Logiciels espions confirmés

🤖 IA générative et cybermenace

📧 Phishing renforcé

Courriels sans fautes, personnalisation à l’échelle, imitation de style.

💻 Développement d’exploits

Génération de code offensif, contournement partiel des garde-fous.

🔍 Reconnaissance OSINT

Tri et synthèse automatisée d’informations, fiches cibles.

Point clé ANSSI

Aucune attaque entièrement autonome pilotée par IA confirmée. L’IA est un multiplicateur d’efficacité humain.

5

Actions & ressources

✅ Checklist patching — Avril 2026

🔴 Ivanti EPMM — RPM 12.x + redémarrage + recherche IoC. EXPLOITÉE
🔴 F5 BIG-IP APM — Correctif CVE-2025-53521 + compromission check. EXPLOITÉE
🔴 Fortinet FortiClientEMS — Correctif FG-IR-26-099. EXPLOITÉE
🟡 Adobe Acrobat Reader — APSB26-43. Exploitée
🟡 Microsoft Windows / Azure Linux — Patch Tuesday avril 2026.
🟡 Mozilla Firefox / Thunderbird — MFSA 2026-25 à 2026-29.
🟡 Noyau Linux — Ubuntu / SUSE / Red Hat (AVI-0421 à 0423).
🟡 Apache Tomcat — 9.0.116 / 10.1.53 / 11.0.20.
🟡 GLPI — Correctifs des trois CVE (PoC public).
🟢 CUPS — CVE-2026-34980 / CVE-2026-34990 (PoC public).

📌 Conclusion analytique — SafeITExperts

🎯 Industrialisation

Les campagnes criminelles et étatiques se professionnalisent. Délai d'exploitation des CVE en forte baisse.

📱 Surface mobile

Messageries instantanées et terminaux des décideurs sont des cibles prioritaires (ALE-003).

🧠 Bluff cybercriminel

58 % des revendications de fuites ne sont pas confirmées. Communication mesurée indispensable.

🤖 IA : multiplicateur

L'IA augmente l'efficacité mais ne remplace pas (encore) l'humain. Vigilance sur le phishing.

🔧 Priorisation KEV

La checklist "patcher ce qui saigne" doit devenir un réflexe hebdomadaire.

🏛️ Rôle ANSSI

Le CERT-FR reste la source de référence. S'abonner aux flux et intégrer les IoC.

Message SafeITExperts

La cybersécurité en 2026 exige veille continue, réactivité extrême sur les correctifs et communication mesurée. Ne sous-estimez ni la surface d'attaque mobile, ni la vitesse d'exploitation des failles critiques.

❓ FAQ — Questions fréquentes

1 Quelles sont les alertes CERT-FR actives en avril 2026 ?

Trois alertes sont actives au 27 avril 2026 : CERTFR-2026-ALE-001 (Ivanti EPMM, CVE-2026-1281 et CVE-2026-1340, activement exploitées), CERTFR-2026-ALE-003 (campagnes ciblant les comptes de messagerie instantanée des secteurs régaliens) et CERTFR-2026-ALE-004 (F5 BIG-IP APM, CVE-2025-53521, exploitation active confirmée le 29 mars 2026). Les trois doivent être traitées en priorité absolue.

2 Mon instance Ivanti EPMM est-elle vulnérable aux CVE-2026-1281 et CVE-2026-1340 ?

Oui si elle tourne en version 12.5.0.0, 12.5.1.0, 12.6.0.0, 12.6.1.0 ou 12.7.0.0 et antérieures. Ces deux failles (CVSS 9.8) permettent une exécution de code à distance sans authentification. CISA a ajouté CVE-2026-1281 et CVE-2026-1340 à son catalogue KEV avec un délai de correctif court. Appliquer immédiatement le RPM 12.x.0.x ou 12.x.1.x selon la version, puis redémarrer EPMM pour purger d'éventuels implants en mémoire. Si l'instance était exposée sur Internet avant patch, considérer qu'elle a été scannée et lancer une recherche de compromission.

3 Que doit faire une organisation exposant une interface F5 BIG-IP APM sur Internet ?

Appliquer sans délai le correctif publié par F5 pour CVE-2025-53521 (RCE non authentifiée sur BIG-IP APM) et lancer une recherche de compromission en s'appuyant sur les IoC fournis par l'éditeur. Le CERT-FR rappelle qu'exposer une interface d'administration sur Internet est contraire aux bonnes pratiques : limiter l'accès à un bastion, un VPN interne ou un filtrage IP strict. Un audit de surface externe (nmap, recherches Shodan/Censys) complète utilement la remédiation technique.

4 Les vulnérabilités du noyau Linux d'avril 2026 affectent-elles les postes de travail ?

Les avis CERTFR-2026-AVI-0421 (Ubuntu), -0422 (SUSE) et -0423 (Red Hat) concernent à la fois les noyaux serveur et poste de travail. Les impacts typiques sont élévation de privilèges, atteinte à la confidentialité et déni de service. Appliquer les mises à jour via apt upgrade, zypper patch ou dnf upgrade puis redémarrer — ou utiliser kpatch/livepatch selon la distribution pour les serveurs en production.

5 Quel est le bilan des fuites de données en France début 2026 ?

Selon l'ANSSI (Panorama de la cybermenace 2025 publié le 11 mars 2026), 460 événements ont été caractérisés comme possibles fuites de données en 2025, dont 42 % confirmés — le reste étant du « bluff » cybercriminel. En janvier 2026, l'OFII a annoncé le vol de 2,1 millions de dossiers d'étrangers, et la fuite Cegedim Santé a exposé près de 15 millions de Français. La CNIL a par ailleurs sanctionné France Travail de 5 M€ le 29 janvier 2026 pour défaut de sécurisation des données suite à la cyberattaque de 2024.

6 Qu'est-ce que le KEV de la CISA et pourquoi est-ce important ?

Le Known Exploited Vulnerabilities Catalog maintenu par la CISA américaine liste les CVE dont l'exploitation en conditions réelles est confirmée. Une entrée au KEV impose aux agences fédérales américaines un délai de correction court (souvent 21 jours, parfois moins pour les cas critiques comme Ivanti EPMM). Pour une organisation française, suivre le KEV reste une bonne pratique : c'est l'un des meilleurs indicateurs publics gratuits pour prioriser les correctifs à appliquer en urgence. Le catalogue est disponible en JSON structuré, intégrable dans un SIEM ou un script d'inventaire.

7 Comment l'IA générative change-t-elle le paysage des cyberattaques en 2026 ?

Dans son rapport CERTFR-2026-CTI-001 publié le 4 février 2026, l'ANSSI observe que l'IA générative est progressivement intégrée à l'outillage des attaquants : rédaction de courriels de phishing plus crédibles (plus de fautes d'orthographe, personnalisation à l'échelle), génération d'ébauches de code offensif, automatisation partielle de la reconnaissance OSINT. Aucune attaque entièrement autonome n'a cependant été confirmée à ce jour. L'IA agit comme un multiplicateur d'efficacité plutôt que comme une rupture de paradigme — les défenses classiques (MFA, filtrage, formation) restent pertinentes mais doivent monter en niveau.