Multiples vulnérabilités dans OpenSSL - Avis CERT-FR 2026-AVI-0403
Summary
CERT-FR issued an advisory alerting organizations to multiple critical vulnerabilities in OpenSSL affecting versions 1.0.2 through 3.6.x. Seven CVEs were identified including CVE-2026-28386 through CVE-2026-28390 and CVE-2026-31789-CVE-2026-31790. The vulnerabilities enable remote code execution, denial of service, and data confidentiality breaches. Organizations running affected OpenSSL versions must apply vendor patches immediately.
What changed
CERT-FR published advisory CERTFR-2026-AVI-0403 disclosing seven security vulnerabilities in OpenSSL library versions spanning 1.0.2 through 3.6.x. The vulnerabilities include CVE-2026-28386 through CVE-2026-28390 and CVE-2026-31789-CVE-2026-31790, enabling remote code execution, denial of service attacks, and data confidentiality breaches. FIPS module users on OpenSSL 3.0-3.6 with x86-64 AVX-512 and VAES instructions face additional exposure via CVE-2026-31790.
Organizations using OpenSSL in their products or infrastructure must immediately inventory affected versions, obtain patches from OpenSSL 20260407 security bulletin, and apply remediation. Security teams should prioritize internet-facing applications and systems with cryptographic processing workloads. Failure to patch exposes systems to unauthenticated remote attackers achieving code execution or service disruption.
What to do next
- Identify all systems running affected OpenSSL versions (1.0.2, 1.1.1, 3.0.x through 3.6.x)
- Apply OpenSSL security patches per bulletin 20260407 immediately
- Prioritize patching internet-facing systems and FIPS-enabled x86-64 deployments with AVX-512
Archived snapshot
Apr 8, 2026GovPing captured this document from the original source. If the source has since changed or been removed, this is the text as it existed at that time.
Premier Ministre S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 08 avril 2026 N° CERTFR-2026-AVI-0403 Affaire suivie par: CERT-FR
Avis du CERT-FR
Objet: Multiples vulnérabilités dans OpenSSL
Gestion du document
| Référence | CERTFR-2026-AVI-0403 |
| Titre | Multiples vulnérabilités dans OpenSSL |
| Date de la première version | 08 avril 2026 |
| Date de la dernière version | 08 avril 2026 |
| Source(s) | Bulletin de sécurité OpenSSL 20260407 du 07 avril 2026 |
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Déni de service à distance
- Exécution de code arbitraire à distance
Systèmes affectés
- OpenSSL versions 1.0.2 antérieures à 1.0.2zp
- OpenSSL versions 1.1.1 antérieures à 1.1.1zg
- OpenSSL versions 3.0.x antérieures à 3.0.20
- OpenSSL versions 3.3.x antérieures à 3.3.7
- OpenSSL versions 3.4.x antérieures à 3.4.5
- OpenSSL versions 3.5.x antérieures à 3.5.6
- OpenSSL versions 3.6.x antérieures à 3.6.2 L'éditeur indique que les modules FIPS des versions 3.6, 3.5, 3.4, 3.3, 3.1 et 3.0 sont affectés par la vulnérabilité CVE-2026-31790 et les versions 3.6 par la vulnérabilité CVE-2026-31790, sur systèmes x86-64 avec les instructions AVX-512 er VAES activées.
Résumé
De multiples vulnérabilités ont été découvertes dans OpenSSL. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à la confidentialité des données.
Solutions
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité OpenSSL 20260407 du 07 avril 2026
- https://openssl-library.org/news/secadv/20260407.txt
- Référence CVE CVE-2026-28386
- https://www.cve.org/CVERecord?id=CVE-2026-28386
- Référence CVE CVE-2026-28387
- https://www.cve.org/CVERecord?id=CVE-2026-28387
- Référence CVE CVE-2026-28388
- https://www.cve.org/CVERecord?id=CVE-2026-28388
- Référence CVE CVE-2026-28389
- https://www.cve.org/CVERecord?id=CVE-2026-28389
- Référence CVE CVE-2026-28390
- https://www.cve.org/CVERecord?id=CVE-2026-28390
- Référence CVE CVE-2026-31789
- https://www.cve.org/CVERecord?id=CVE-2026-31789
- Référence CVE CVE-2026-31790
- https://www.cve.org/CVERecord?id=CVE-2026-31790
Gestion détaillée du document
- le 08 avril 2026 Version initiale
Related changes
Get daily alerts for CERT-FR Security Advisories
Daily digest delivered to your inbox.
Free. Unsubscribe anytime.
About this page
Every important government, regulator, and court update from around the world. One place. Real-time. Free. Our mission
Source document text, dates, docket IDs, and authority are extracted directly from CERT-FR.
The plain-English summary, classification, and "what to do next" steps are AI-generated from the original text. Cite the source document, not the AI analysis.
Classification
Who this affects
Taxonomy
Browse Categories
Get alerts for this source
We'll email you when CERT-FR Security Advisories publishes new changes.