Veille sécuritéCloud & DevOps
P3Élevée
Dans le fournisseur Kubernetes Ingress NGINX de Traefik, des noms de secrets d’autorités de certification client qui deviennent identiques après normalisation peuvent entraîner une fusion de leurs CA. Un client disposant d’un certificat accepté par l’autre CA peut alors accéder à un hôte protégé par mTLS, tandis que des clients légitimes peuvent être refusés.
Kubernetes
IdentifiantCVE-2026-114638
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifTraefik 3.7.14
Source : NVD — CVE-2026-114638
Analyse technique
Le problème concerne la collision de noms de secrets après normalisation des points en tirets. La version corrective indiquée est Traefik 3.7.14.
Impact, versions et correctif
Événement datéRetenue comme nouvelle publication NVD du 2026-10-22. La fiche NVD a ensuite été mise à jour le 2026-10-23, hors de la période demandée ; cette mise à jour ultérieure n’est pas traitée comme un événement de la période.
ImpactContournement possible de l’authentification mTLS pour certains hôtes et refus de clients légitimes.
Versions affectéesTraefik v3.7.0 à v3.7.13
Version corrigéeTraefik 3.7.14
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,19% · percentile 7,8%
Publication2026-10-22T02:16:56.653Z
Mise à jour2026-10-23T15:17:27.220Z
Action recommandée
Mettre à niveau Traefik vers 3.7.14.
Sources
Priorisation DFS : P3 · 1 source(s).