OpenSSL : faille DTLS (CVE-2026-84782) corrigée dans les versions 3.5.9, 3.6.5 et 4.0.3

Le projet OpenSSL a publié le 29 septembre 2026 les versions 4.0.3, 3.6.5, 3.5.9 et 3.4.8, qui corrigent une faille de gravité « High » (CVE-2026-84782) dans la retransmission des messages de handshake DTLS, ainsi qu'une faille modérée (CVE-2026-84783, OpenSSL 4.0 uniquement) et une douzaine de failles de gravité faible, surtout côté QUIC.

Qui est concerné ?

Les services qui utilisent DTLS avec OpenSSL (VPN UDP, WebRTC, VoIP/SRTP : Asterisk, FreePBX, etc.). Les serveurs web classiques (Apache, Nginx en TLS/TCP) ne sont pas concernés par cette faille précise. Branches touchées : 4.0, 3.6, 3.5, 3.4, 3.0, 1.1.1 et 1.0.2.

Risque

Une retransmission DTLS lit le tampon au mauvais décalage : le pair peut recevoir du contenu de la mémoire (heap) en clair dans le handshake, ou provoquer un plantage (déni de service). Aucune exploitation active n'est signalée dans l'avis. Le module FIPS n'est pas concerné.

Corriger

Debian 13 (trixie) : le security tracker indique la CVE corrigée (openssl 3.5.7-1~deb13u3 en trixie-security). Debian 12 (bookworm) : le tracker affiche toujours la CVE comme vulnérable (openssl 3.0.22-1~deb12u1) — correctif Debian à confirmer. Les branches 3.0, 1.1.1 et 1.0.2 ne sont corrigées upstream que pour les clients de support premium.

apt update && apt install --only-upgrade openssl libssl3t64
openssl version
# redémarrer les services qui utilisent DTLS (Asterisk, VPN, etc.)
needrestart -r a

Contournement

Aucun contournement officiel ; limiter l'exposition des services DTLS aux réseaux de confiance en attendant le correctif.

Vérifier

apt-cache policy openssl
lsof -n | grep libssl | awk '{print $1}' | sort -u

Plesk et AlmaLinux : état à confirmer (aucune mention dans le change log Plesk au 21/10).