Vulnérabilité dans les produits Adobe

CVE-2023-26369 · Publié le 13/09/2023 · Révisé le 17/06/2026

ÉLEVÉE 7.8 ⚑ Exploitation active connue EPSS 0.07 · 94ᵉ centileCWE-787

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Produits et versions affectés

Explication de la faille

Conditions à réunir pour exploiter cette faille, telles que publiées :

• exige un accès local à la machine (session ouverte, ligne de commande)
• sans authentification préalable
• requiert une action de la victime (ouvrir un fichier, suivre un lien)
• aucune condition particulière à réunir

Atteinte totale à la confidentialité des données, l'intégrité des données et la disponibilité du service.

L'impact reste confiné au composant vulnérable.

Exploitation connue

Exploitation avérée.

La CISA a inscrit cette vulnérabilité à son catalogue des failles activement exploitées le 14 septembre 2023. L'inscription à ce catalogue signifie qu'une exploitation a été constatée, pas qu'elle est probable.

Les agences fédérales américaines avaient jusqu'au 5 octobre 2023 pour appliquer le correctif. Cette échéance ne vous engage pas, mais elle donne l'urgence retenue par la CISA.

Le score EPSS estime à 7.0 % la probabilité qu'une tentative d'exploitation soit observée dans les trente prochains jours. Cette valeur la situe au 94ᵉ centile : 94 % des vulnérabilités connues ont une probabilité plus faible.

Vérifier la présence sur votre système

Relevez la version installée, puis comparez-la aux plages listées plus haut. Une version absente de ces plages n'est pas concernée par cet avis.

Fichier → Compte → À propos de Word (ou Excel, Outlook…)

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration' |
  Select-Object VersionToReport

soffice --version || nom-du-produit --version

Ces commandes ne font que lire l'état du système : aucune n'installe, ne modifie ni ne redémarre quoi que ce soit.

Correctif et contournements

4 des 5 produits affectés portent une version corrigée, indiquée en regard de chacun dans la liste des produits, en haut de page.

Ces numéros sont déduits des bornes de version du NVD : la borne haute d'une plage vulnérable est la première version corrigée de sa branche. Le bulletin de l'éditeur, lié ci-dessous, reste la référence — lui seul mentionne les contournements et les conditions de mise à jour.