F5 : neuf vulnérabilités critiques dans BIG-IP et NGINX, le CERT-FR alerte les DPO/RSSI

Le CERT-FR a publié le 16 juillet 2026 l'avis CERTFR-2026-AVI-0894, documentant neuf vulnérabilités touchant plusieurs produits F5 : BIG-IP, BIG-IP Next, F5 WAF et l'ensemble de la gamme NGINX. Certaines de ces failles permettent l'exécution de code arbitraire à distance. Pour toute organisation dont l'infrastructure réseau repose sur ces briques, le rappel est direct : l'article 32 du RGPD ne tolère pas les correctifs différés.

Ce qui s'est passé

S'appuyant sur huit bulletins de sécurité publiés par F5 le 15 juillet 2026, l'ANSSI a recensé neuf CVE affectant un périmètre large : BIG-IP versions antérieures à 21.1.0, BIG-IP Next CNF 2.3.2, BIG-IP Next SPK antérieures à 2.0.3, F5 WAF antérieures à 5.13.3, ainsi que NGINX Ingress Controller (< 5.5.3), NGINX Open Source (< 1.31.3) et NGINX Plus (< 37.0.3). L'avis liste six familles de risques : exécution de code arbitraire à distance, déni de service à distance, atteinte à la confidentialité des données, atteinte à leur intégrité, contournement de la politique de sécurité, et un risque non spécifié par l'éditeur.

F5 n'a pas publié de preuve d'exploitation active à ce stade, mais l'étendue du périmètre concerné en fait une cible de choix. Les répartiteurs de charge BIG-IP, les WAF et les contrôleurs d'entrée NGINX sont par construction des équipements exposés en frontal, au cœur du trafic applicatif : c'est précisément par ces points d'entrée que transitent, en clair ou déchiffrées, les données personnelles des utilisateurs d'un service. Un attaquant qui parvient à exploiter l'une des failles d'exécution de code à distance n'accède pas seulement au boîtier réseau, il accède potentiellement à tout ce qui passe derrière.

Pourquoi c'est important pour les DPO et RSSI

Un boîtier F5 compromis n'est pas un incident IT isolé : c'est un point de passage pour l'ensemble des flux qu'il gère, y compris des données personnelles. Cela active directement l'article 32 du RGPD, qui impose de mettre en œuvre les mesures techniques à l'état de l'art — l'application diligente des correctifs éditeur en fait partie. Si l'exploitation est confirmée et qu'elle affecte des données personnelles, la notification à la CNIL sous 72 heures peut s'imposer, tout comme le régime de notification d'incident significatif prévu par le volet NIS 2 pour les entités essentielles et importantes. Si ces équipements sont opérés par un prestataire infogérant, la question de l'article 28 se pose également : le contrat de sous-traitance doit prévoir l'obligation de patcher rapidement et d'en informer le responsable de traitement.

Ce n'est pas un cas isolé. Le CERT-FR a publié coup sur coup, ces derniers mois, des avis similaires visant Palo Alto Networks et à deux reprises Stormshield. F5 vient allonger une liste déjà longue d'équipementiers réseau et de sécurité touchés en 2026, confirmant que les pare-feux, WAF et contrôleurs d'accès sont devenus une cible réglementaire à part entière, autant qu'une cible technique.

Ce que ça change pour les organisations

Trois actions s'imposent sans attendre. D'abord, inventorier les instances F5 et NGINX déployées, en priorisant celles exposées sur Internet ou accessibles depuis des réseaux non maîtrisés — c'est là que le risque d'exploitation est le plus élevé. Ensuite, appliquer les correctifs référencés dans les huit bulletins F5 (K000161800 à K000162231), en traitant en priorité les versions vulnérables aux exécutions de code à distance, avant les autres familles de risques. Enfin, documenter la démarche : date de l'inventaire, date d'application du correctif, éventuelle analyse des journaux d'accès post-patch. Cette traçabilité est précisément ce qu'un contrôle CNIL ou un audit NIS 2 viendra chercher en premier en cas d'incident ultérieur. Si un infogérant opère ces équipements pour le compte de l'organisation, il convient de lui demander une confirmation écrite de l'application des correctifs, et de vérifier que cette obligation figure explicitement dans le contrat de sous-traitance.

Ce que Leto pense de cette décision

Cette succession d'avis CERT-FR sur des équipements réseau et de sécurité — Stormshield, Palo Alto, Splunk, SAP, désormais F5 — dessine une tendance de fond : la conformité RGPD ne se joue plus seulement sur les registres de traitement, mais sur la vitesse à laquelle une organisation patche son infrastructure critique. Les entreprises qui traitent la gestion des vulnérabilités comme un processus continu, avec un inventaire à jour et un circuit de patch documenté, sont structurellement mieux placées que celles qui découvrent leur parc applicatif à chaque nouvelle alerte. C'est aussi, pour un DPO, un argument concret à faire valoir auprès de la DSI : chaque avis CERT-FR ignoré est un point de faiblesse potentiel dans la démonstration d'accountability exigée par le RGPD.

Sources : Avis CERTFR-2026-AVI-0894 (CERT-FR / ANSSI), CVE-2026-42533, Bulletin de sécurité F5 K000161800