Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié le 6 novembre 2026 un avis concernant plusieurs vulnérabilités de Mattermost Server. Quatre branches du logiciel de collaboration sont concernées, avec des seuils de versions corrigées distincts.
Quatre branches de Mattermost Server concernées
Selon l’avis CERTFR-2026-AVI-1479, les versions 11.10.x antérieures à 11.10.5, 11.11.x antérieures à 11.11.4, 11.7.x antérieures à 11.7.15 et 12.0.x antérieures à 12.0.2 sont affectées. Le contrôle doit donc porter sur la branche exacte installée, et pas seulement sur le numéro majeur du logiciel.
Le document renvoie à trois bulletins de sécurité de Mattermost datés du 5 novembre 2026 : MMSA-2026-00592, MMSA-2026-00781 et MMSA-2026-00786. Le CERT-FR classe le risque comme « non spécifié par l’éditeur » et ne fournit pas, dans cet avis, de description détaillée d’un scénario d’exploitation. Il serait donc prématuré d’attribuer à ces failles un effet technique particulier ou de les présenter comme exploitées dans une attaque constatée.
Une vérification des versions et des correctifs
Pour les équipes chargées de la sécurité des systèmes d’information, l’avis appelle à inventorier les instances Mattermost Server, à relever leur version précise et à déterminer si elles appartiennent aux plages affectées. Le CERT-FR recommande de se reporter aux bulletins de sécurité de l’éditeur pour obtenir les correctifs applicables.
Cette vérification concerne les organisations qui exploitent effectivement Mattermost, notamment lorsqu’il sert aux échanges professionnels internes. Les informations publiées ne permettent toutefois ni de mesurer le nombre d’installations vulnérables en France ni d’établir l’existence d’une compromission liée à ces vulnérabilités.
L’avis du 6 novembre complète les alertes antérieures relatives à Mattermost. Les responsables techniques doivent distinguer chaque bulletin et ses versions affectées pour établir leur plan de mise à jour.
