Visual Studio : quatre branches à corriger pour une faille de certificat
CVE-2026-118147 permet une usurpation sur le réseau sous certaines conditions. Les correctifs de Visual Studio 2017, 2019, 2022 et 2026 ne se confondent pas avec ceux de Brotli.
Accessible
Image générée · SecuFocus
En bref
L’essentiel
Vous utilisez Visual Studio pour développer ? Vérifiez la version de chaque installation de l’IDE, pas seulement celle de Windows ou de .NET. Microsoft corrige CVE-2026-118147, un défaut de validation des certificats qui permet une usurpation sur le réseau. Son avis exige un attaquant placé sur le trajet des communications : il ne décrit pas une prise de contrôle automatique de tout poste utilisant Visual Studio.
L’attaquant doit pouvoir se placer entre le poste et la ressource
Le document Microsoft d’octobre, dans la fiche CVE-2026-118147 publiée le 30 octobre, décrit une validation incorrecte de certificats. Sa FAQ précise que l’attaquant doit s’interposer dans le trajet réseau entre la cible et la ressource demandée pour lire ou modifier les communications. C’est une attaque de type intermédiaire, souvent appelée MITM.
Microsoft classe la faille Important et indique Exploited: No dans cette fiche. Cela rapporte l’état déclaré par l’éditeur ; ce n’est ni une preuve d’absence de toute attaque ni le statut d’une autre CVE. Nous n’avons pas reproduit le mécanisme.
Un numéro corrigé pour chaque branche
L’avis CERT-FR du 2 novembre et les champs FixedBuild du document Microsoft concordent sur les quatre repères ci-dessous. Identifiez l’année et la branche de l’installation avant de comparer son numéro complet. Une version de 2019 ne devient pas corrigée parce que son numéro semble supérieur à celui de 2017.
Ces repères concernent Visual Studio, l’environnement de développement nommé dans les avis. Ils ne constituent pas une consigne de mise à jour de Visual Studio Code ou de toutes les extensions portant le mot Claude.
Faites défiler le tableau horizontalement pour lire toutes les colonnes.
| Visual Studio | Branche | Correctif cité |
|---|---|---|
| 2017 | 15.9 | 15.9.84 |
| 2019 | 16.11 | 16.11.62 |
| 2022 | 17.14 | 17.14.44 |
| 2026 | 18.11 | 18.11.3 |
Mettre à jour l’IDE réellement utilisé
Enregistrez votre travail, utilisez le circuit de mise à jour de votre installation et effectuez le redémarrage demandé. Sur un poste géré, transmettez la branche et la version à l’administrateur. Après l’intervention, relisez le numéro de l’IDE que vous lancez réellement, notamment si plusieurs éditions coexistent. Ce parcours est une recommandation de maintenance, pas un essai des correctifs.
La faille Brotli CVE-2026-111497 possède aussi des lignes Visual Studio, mais ses versions ne sont pas le repère de cette nouvelle faille. Par exemple, 17.14.43 est cité pour Brotli dans le document Microsoft ; CVE-2026-118147 demande 17.14.44. Une mise à jour jugée suffisante pour le premier avis peut donc rester antérieure au second.
Vérifier, approfondir
Les sources de cet article
Les numéros relient chaque référence aux passages qui l’utilisent. La date indique quand la documentation a été consultée.
- NVD : CVE-2026-118147, validation des certificats dans Visual Studio ↗services.nvd.nist.gov ·
Cet article s’appuie sur les sources ci-dessus. Les exercices proposés sont à réaliser sur vos appareils ; SecuFocus ne les présente pas comme des essais menés par la rédaction. Les interfaces et les fonctions peuvent changer. Méthode et corrections.
Citer cet article
Pour retrouver cette lecture ou la partager avec sa référence.