Des failles de sécurité dans le pilote HPLIP ont été mises en lumière par Ubuntu Security. L’annonce USN-9037-1 détaille plusieurs problèmes, allant du simple accès non sécurisé de fichiers à la possibilité d’exécuter des commandes arbitraires. Les chercheurs ont découvert que HPLIP ne gère pas correctement certains flux de données, ce qui peut mener à des écritures hors limites.

Ceci est particulièrement préoccupant car, selon le rapport, un attaquant pourrait exploiter ces failles pour provoquer un déni de service, divulguer des informations sensibles, voire exécuter du code arbitraire. Nous parlons ici de plusieurs types de failles, notamment des débordements de tampon basés sur le tas (heap-based buffer overflow) et des problèmes de validation d’indices de tableaux.

Le spectre des risques est large. Une vulnérabilité spécifique permet à un attaquant d’exécuter des commandes arbitraires lorsque le pilote traite une commande système de l’OS. Cette faille, identifiée comme CVE-2026-91102, affecte uniquement les versions Ubuntu 16.04 LTS et 18.04 LTS. On note d’ailleurs que plusieurs failles permettent des scénarios d’exécution de code ou de montée de privilèges, comme le montrent les données techniques associées à CVE-2026-91097.

Ce qui est touché et la gravité réelle

La gravité varie selon l’exploit potentiel. Par exemple, une faille liée à la gestion des permissions crée un risque de divulgation ou de modification de données sensibles, noté avec un score de sécurité moyen (CVSS 5,1) pour CVE-2026-91099. Cependant, le danger grimpe en flèche lorsqu’on considère les débordements de tampon. CVE-2026-91098, par exemple, est jugée ‘HIGH’ avec un score de 8,6, tandis que CVE-2026-91097 atteint un score de 7,0, mais d’autres analyses internes indiquent des potentiels de sévérité bien supérieurs, touchant à des scénarios d’exécution de code.

Il est important de distinguer le contexte. Ce n’est pas une attaque par hameçonnage, mais une faiblesse intrinsèque du logiciel du pilote.

Qui doit agir et comment

Les utilisateurs des versions mentionnées d’Ubuntu, notamment ceux qui utilisent des périphériques HP, doivent réagir. Ubuntu Security a publié ces notices précisément pour guider les administrateurs. L’action nécessaire est claire : mettre à jour le paquet HPLIP. Les correctifs ont été préparés et mis à disposition.

Pour les systèmes concernés, l’installation des mises à jour est la seule parade reconnue pour neutraliser ces vecteurs d’attaque. On doit s’assurer, par exemple, que les mises à jour incluent les correctifs pour le traitement des données en entrée et pour la validation des indices de tableaux, afin d’éviter les dénis de service ou la divulgation d’informations.

Que faire maintenant

Il faut vérifier l’état de patch de votre installation. Si vous utilisez Ubuntu 16.04 ou 18.04 LTS et que vous gérez des impressions avec HPLIP, le temps de la mise à jour est désormais compté. Les systèmes non patchés restent une porte ouverte, même si l’attaque doit passer par une interaction spécifique avec le pilote d’impression.

Fiche technique

Données : NVD (NIST) et GitHub Advisory Database (CC BY 4.0, données adaptées).

Sources

• USN-9037-1: HPLIP vulnerabilities, Ubuntu Security, 10 novembre 2026
• CVE-2026-119997 Microsoft Office Outlook Remote Code Execution Vulnerability, Microsoft, 10 novembre 2026
• GHSA-52×8-q22p-3rrf : HP has identified and remediated multiple externally reported vulnerabilities within…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-91097, NVD (NIST)
• GHSA-mq8j-7fcj-wmh8 : HP has identified and remediated multiple externally reported vulnerabilities within…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-91098, NVD (NIST)
• GHSA-qw6g-m8fg-ffvm : HP has identified and remediated multiple externally reported vulnerabilities within…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-91099, NVD (NIST)