Trois failles critiques dans Konflux CI de Red Hat
Les trois vulnérabilités, notées 8,0 ou plus, exposent des jetons GitHub et permettent l'exécution de commandes malveillantes, selon dailysecu.com.
Trois vulnérabilités de sécurité ont été divulguées publiquement le 31 octobre 2026 dans Konflux CI, la plateforme de développement et de déploiement logiciel de Red Hat. Elles sont suivies sous les identifiants CVE-2026-114217, CVE-2026-116964 et CVE-2026-117681, et toutes présentent un score CVSS de 8,0 ou plus, rapporte dailysecu.com.
La première, CVE-2026-114217, obtient un score CVSS de 8,6 : des jetons d'accès GitHub sont stockés en clair dans les environnements de travail d'intégration continue. La deuxième, CVE-2026-116964, notée 8,4, permet à un attaquant disposant d'un accès en écriture au dépôt d'injecter et d'exécuter des commandes malveillantes dans les scripts d'automatisation du déploiement.
La troisième, CVE-2026-117681, avec un score de 8,0, concerne la possibilité que la vérification des certificats soit désactivée lors de la communication entre services internes, ce qui peut, dans certaines conditions, mener au vol de jetons d'authentification et à une élévation de privilèges.
Aucune exploitation de ces trois vulnérabilités lors d'attaques réelles n'a été confirmée à ce jour.
En bref
Quelles sont les failles divulguées dans Konflux CI ?
Trois vulnérabilités : CVE-2026-114217, CVE-2026-116964 et CVE-2026-117681, toutes notées 8,0 ou plus sur l'échelle CVSS.
Ces failles ont-elles été exploitées ?
Aucune exploitation en attaque réelle n'a été confirmée à ce jour, selon les informations disponibles.
Quand ont-elles été divulguées ?
Le 31 octobre 2026.