Rétrospective du 2026-07-12, constituée le 27 octobre 2026. Cette date désigne la journée analysée ; les sources et leur date de révision sont précisées ci-dessous.
Ce que change cet avis pour votre environnement
Le point de départ est CERTFR-2026-AVI-0860, publié le 2026-07-10. Son périmètre comprend CPCI85 Central Processing/Communication, SICORE Base system. Les conséquences signalées sont déni de service, exécution de code, contournement des contrôles de sécurité, élévation de privilèges. Ces indications s’appliquent au périmètre du bulletin : elles n’attribuent pas chaque conséquence à chaque produit ou à chaque CVE.
Ce dossier rassemble 2 entrées de versions; nombre d’identifiants CVE : 4. Le traitement doit être suivi par composant; une mise à jour globale annoncée comme réussie ne prouve pas que CPCI85 Central Processing/Communication et SICORE Base system ont reçu leur correctif respectif.
Produits et versions à examiner
- Référence
- CERTFR-2026-AVI-0860
- Première publication de la source
- 2026-07-10
- Dernière révision disponible pour cette journée
- 2026-07-10
- Composants cités
- CPCI85 Central Processing/Communication, SICORE Base system
- Identifiants CVE
- CVE-2026-54798, CVE-2026-54801, CVE-2026-54799, CVE-2026-54800
| Composant | Condition publiée |
|---|---|
| CPCI85 Central Processing/Communication | < 26.20 |
| SICORE Base system | < 26.20.0 |
Pour CPCI85 Central Processing/Communication, la condition publiée est « < 26.20 ». Il faut donc confronter la version réellement chargée à cette condition, dans sa propre branche. La présence d’un correctif sur une autre édition de CPCI85 Central Processing/Communication ne permet pas de clôturer ce cas.
Mécanisme et préconditions
Le contexte d’exécution compte autant que le nom de la faille. Distinguez les actions accessibles à un utilisateur local de celles offertes par une interface distante, puis vérifiez les droits et secrets du processus concerné.
La fiche primaire CVE-2026-54798, publiée par siemens, décrit le périmètre CPCI85 Central Processing/Communication, SICORE Base system. Sa dernière révision retenue date du 2026-07-09. Ce périmètre est présenté séparément des intégrations et regroupements de produits du bulletin CERTFR-2026-AVI-0860.
La métrique publiée pour CVE-2026-54798 est CVSS 4.0, 7.1/10. Le vecteur ci-dessous décrit des préconditions techniques ; il ne mesure ni la fréquence des attaques ni la probabilité de compromission de votre installation.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
- Vecteur d’attaque
- Non précisé dans la source retenue
- Privilèges préalables
- Non précisé dans la source retenue
- Interaction utilisateur
- Non précisé dans la source retenue
- Complexité
- Non précisé dans la source retenue
- Faiblesse
- CWE-489
Choisir la bonne intervention
- Repérer les instances de CPCI85 Central Processing/Communication, leur version en fonctionnement et leur responsable. Consigner la condition < 26.20 dans le ticket, avec le lien CERTFR-2026-AVI-0860.
- Comparer la branche installée aux notes de l’éditeur de CPCI85 Central Processing/Communication. Préparer le paquet prévu pour cette branche et un test du service dépendant ; conserver l’état initial avant la modification.
- Après intervention sur CPCI85 Central Processing/Communication, relever à nouveau la version chargée et vérifier le parcours décrit ci-dessous. Une exception doit conserver un responsable, une mesure de réduction d’exposition et une échéance.
Contrôler la correction en situation réelle
Cas de contrôle à adapter à CPCI85 Central Processing/Communication : Pour CPCI85 Central Processing/Communication, préparer le contrôle avec le responsable d’exploitation sur un banc ou une copie représentative. Vérifier les échanges nécessaires au procédé et les accès de maintenance ; ne pas confondre possibilité technique d’une mise à jour et autorisation d’interrompre un système industriel. Ce scénario est une proposition de validation défensive, pas un test présenté comme effectué sur les systèmes d’un tiers.
Limite du dossier CERTFR-2026-AVI-0860 : cette analyse ne remplace ni les prérequis de l’éditeur ni une investigation sur vos journaux. Les seules versions reprises sont celles explicitement documentées ; aucune date d’attaque ou victime n’est inventée.
Questions propres à ce dossier
Quelle condition faut-il vérifier pour CPCI85 Central Processing/Communication ?
Le bulletin CERTFR-2026-AVI-0860 indique : CPCI85 Central Processing/Communication — < 26.20. Vérifier l’édition et la version en cours d’exécution ; la borne publiée ne doit pas être étendue aux branches que le bulletin ne cite pas.
Pourquoi ne pas appliquer le même correctif à CPCI85 Central Processing/Communication et SICORE Base system ?
CERTFR-2026-AVI-0860 distingue ces composants dans un périmètre comportant 2 entrées. Chaque branche doit être rapprochée de sa documentation de mise à jour et de son propre contrôle de fonctionnement.
Quelles préconditions la fiche CVE-2026-54798 précise-t-elle ?
Pour CVE-2026-54798, le vecteur publié est CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N. Il faut vérifier ces conditions sur CPCI85 Central Processing/Communication, SICORE Base system avant de les appliquer à une intégration mentionnée dans CERTFR-2026-AVI-0860.
Sources et lectures associées
Guide pratique : Audit d’exposition cyber : checklist priorisée
Pour approfondir la décision décrite dans ce dossier
Inventaire complet du bulletin source
Le tableau de l’article peut être un extrait. Les listes ci-dessous reprennent toutes les entrées de produits et les CVE de la version du bulletin indiquée. Elles ne constituent pas l’inventaire de vos actifs et n’attribuent pas chaque CVE à chaque produit.
Source officielle · CERTFR-2026-AVI-0860
Révision du bulletin : · Vérifié le :
Systèmes affectés · 2
Libellés originaux en français, conservés pour éviter une traduction ambiguë des conditions de version.
- CPCI85 Central Processing/Communication versions antérieures à 26.20
- SICORE Base system versions antérieures à 26.20.0