Correctifs de sécurité : planifiés chez Next.js, en urgence chez Ivanti
Le 14 octobre, Next.js publiait des correctifs critiques annoncés une semaine plus tôt, et Ivanti signalait une faille déjà exploitée. Deux façons de vivre une mise à jour, une même leçon.
Le 14 octobre, deux annonces de sécurité sont tombées le même jour, et elles racontent deux histoires opposées. D'un côté, Next.js, un des frameworks les plus utilisés pour construire des sites et des applications web, publiait des correctifs critiques qu'il avait annoncés une semaine plus tôt. De l'autre, le CERT-FR alertait sur une faille du VPN Ivanti Connect Secure, déjà exploitée par des attaquants. Pour une entreprise, la différence entre ces deux situations tient souvent à une seule chose : avoir prévu qui applique les mises à jour, et quand.
Next.js : des correctifs critiques, mais annoncés
Depuis le 13 juillet 2026, l'équipe de Next.js a mis en place un programme de publication de sécurité : environ une fois par mois, elle annonce à l'avance la date de la prochaine mise à jour de sécurité et la gravité la plus élevée des failles concernées, sans en donner le détail. Elle justifie ce choix par la hausse rapide du nombre de failles découvertes, notamment grâce à des outils d'analyse assistés par l'IA. Les correctifs urgents, ou ceux qui concernent une faille déjà exploitée, restent publiés sans délai.
Le 8 octobre, Next.js a ainsi annoncé une mise à jour hors calendrier pour le 14 octobre, couvrant deux failles critiques et une faille élevée, liées à des dépendances. Elle est sortie comme prévu, dans les versions 16.4.1 et 15.5.28. Les trois problèmes corrigés :
- une exécution de code à distance sans authentification dans certaines applications utilisant les fonctions de cache de l'App Router, sans contournement possible ;
- une exécution de code à distance via l'optimisation d'images avec des fichiers SVG, due à une bibliothèque utilisée par Next.js, sur les serveurs Linux courants ;
- un déni de service sur les applications qui utilisent les Server Actions : des requêtes forgées peuvent bloquer le serveur.
Next.js recommande de mettre à jour même si l'application ne semble pas concernée. C'est le bon réflexe : vérifier précisément si une faille vous touche prend souvent plus de temps que d'appliquer le correctif.
Ivanti : une faille déjà exploitée
Le même jour, le CERT-FR publiait l'alerte CERTFR-2026-ALE-013 sur Ivanti Connect Secure, une passerelle VPN utilisée par de nombreuses entreprises pour le télétravail. L'éditeur indique que la faille CVE-2026-104935 est activement exploitée. Elle permet de contourner la politique de sécurité, d'exécuter du code à distance et d'élever ses privilèges.
Les recommandations du CERT-FR sont d'une autre nature que celles de Next.js. Il ne s'agit plus seulement de mettre à jour, mais d'abord d'isoler l'équipement d'Internet et du réseau interne, de préserver les traces, de rechercher une compromission, et, si elle est avérée, de considérer comme compromis tous les secrets qui ont transité par la passerelle : comptes de l'annuaire, certificats, mots de passe administrateur, clés d'accès. La mise à jour du logiciel est recommandée dès qu'un correctif est disponible.
Autrement dit, quand une faille est exploitée avant que vous ayez corrigé, le travail ne se limite plus à une mise à jour : il devient une enquête.
Ce que ça dit de la maintenance d'une application
Le rythme des correctifs s'accélère
Next.js a publié des mises à jour de sécurité en juillet, en août, deux en septembre, et une nouvelle en octobre. Ce n'est pas le signe d'un mauvais logiciel : c'est le signe que les failles sont cherchées plus activement que jamais, y compris par des outils automatiques. Un site ou une application qui n'est pas mis à jour pendant six mois accumule désormais un retard réel.
Le préavis ne sert que si quelqu'un le lit
Une annonce une semaine à l'avance est une chance : elle permet de prévoir un créneau, de tester, de mettre en production sans précipitation. Encore faut-il que quelqu'un, chez vous ou chez votre prestataire, suive ces annonces et ait la responsabilité d'agir.
Les équipements comptent autant que le code
Le cas d'Ivanti rappelle que la surface d'attaque d'une PME ne se limite pas à son site : le VPN, le pare-feu, la messagerie, les équipements exposés sur Internet sont souvent les premières cibles. Nous en parlions la semaine dernière avec les régulateurs de froid piratés dans des supermarchés.
Ce que nous conseillons
- Sachez sur quoi reposent vos applications. Framework, langage, version : votre prestataire doit pouvoir vous le dire en une phrase.
- Désignez un responsable des mises à jour, avec un délai cible : quelques jours pour une faille critique, le prochain cycle pour le reste.
- Exigez un environnement de test pour valider un correctif avant la production.
- Pour vos équipements d'accès distant (VPN, pare-feu), abonnez-vous aux alertes du CERT-FR et de l'éditeur.
- Prévoyez le cas où le correctif n'existe pas encore : qui peut couper un service, et comment l'entreprise continue de travailler.
Les applications web que nous développons sont maintenues avec ce suivi : mises à jour régulières, testées avant mise en production, et une réponse sous 24 heures ouvrées en cas de problème. C'est inclus dans la maintenance de nos logiciels, et le détail est sur la page Tarifs. Nous avons aussi décrit nos habitudes dans notre article sur la sécurité d'un logiciel métier au quotidien.
À relire sur le même sujet : Correctifs de sécurité : Next.js et Microsoft passent au calendrier, et vous ?.