CVE-2026-23500 : faille critique dans Dolibarr

Ce que décrit l'avis de sécurité

Le projet Dolibarr a publié un avis classé critique, identifié CVE-2026-23500. Il décrit une injection de commandes système, avec exécution de code à distance, liée au paramètre MAIN_ODT_AS_PDF. Ce paramètre sert à la conversion des documents ODT en PDF, par exemple pour les devis et les factures. Selon l'avis, la valeur enregistrée dans ce paramètre n'est ni validée ni protégée avant d'être transmise au système. Un administrateur authentifié, ou quelqu'un qui a pris le contrôle d'un compte administrateur, peut donc faire exécuter des commandes arbitraires par le serveur. Le rapport est attribué à Łukasz Rybak. Nous ne détaillerons pas la méthode : elle n'apporterait rien à votre défense. Retenez l'essentiel. La faille n'est pas exploitable par un visiteur anonyme, mais elle transforme un compte administrateur compromis en prise de contrôle du serveur. Vous trouverez l'avis complet sur la page de l'avis de sécurité.

Pourquoi une faille réservée aux administrateurs reste grave

On pourrait la juger secondaire puisqu'il faut être administrateur. Ce serait une erreur. Dans une PME, le compte administrateur est souvent partagé, son mot de passe est ancien, et il n'y a pas de double authentification. Un mot de passe réutilisé ailleurs et divulgué suffit. L'avis précise l'impact : les commandes s'exécutent avec les droits de l'utilisateur du serveur web. Cela permet de lire les fichiers de configuration, donc les identifiants de la base de données, de modifier le code de l'application, voire de compromettre l'ensemble du système selon la configuration du serveur. Pour une entreprise, cela signifie l'accès aux clients, aux factures, aux devis et aux documents joints. Une faille qui exige un compte privilégié devient donc un multiplicateur de dégâts après le vol d'un identifiant. Elle justifie une mise à jour rapide, même si votre instance n'est pas exposée à des utilisateurs inconnus.

Versions concernées et versions corrigées

L'avis indique la version 23.0 comme version corrigée. Côté branche 18, le journal des modifications de la version 18.0.9, publiée le 2 avril 2026, mentionne le correctif de cet avis. Vous pouvez le consulter sur la page de la version 18.0.9. Pour la branche 23, les versions 23.0.1 et 23.0.2 ont été publiées le 4 avril 2026. La 23.0.2 reprend en outre plusieurs corrections référencées comme avis de sécurité, sans lien avec celui-ci, d'après son journal. Pour cette branche, la version 23.0.2 est la plus récente et la cible la plus raisonnable. Les sources ne disent rien des branches 21 et 22 pour cet avis précis. Nous ne ferons donc aucune affirmation à leur sujet. Si vous utilisez l'une d'elles, consultez l'avis du projet ou demandez-nous de vérifier votre situation. Dans tous les cas, évitez de rester sur une version antérieure à celles citées ici.

Les gestes à faire dès aujourd'hui

Commencez par identifier votre version : elle s'affiche dans le menu Aide, à la rubrique À propos. Puis déroulez les étapes ci-dessous, dans l'ordre. Elles prennent peu de temps et réduisent le risque tant que la mise à jour n'est pas faite.

• Sauvegardez la base de données et les fichiers, dont le dossier documents et vos modules personnalisés, avant toute opération.
• Mettez à jour vers 23.0.2 si vous êtes en branche 23, ou vers 18.0.9 si vous êtes en branche 18.
• Listez les comptes administrateurs et supprimez ceux qui ne sont plus utiles.
• Changez les mots de passe administrateur, surtout s'ils sont anciens ou partagés entre plusieurs personnes.
• Dans la configuration, vérifiez que la valeur du paramètre MAIN_ODT_AS_PDF correspond bien à ce que vous avez vous-même défini, ou qu'il est absent.

Vérifier si quelqu'un a déjà touché à votre configuration

La mise à jour corrige le défaut, mais elle n'efface pas une éventuelle intrusion passée. Si votre instance est accessible depuis Internet et que vos comptes administrateurs ont des mots de passe faibles, prenez dix minutes pour contrôler. Regardez d'abord la valeur du paramètre MAIN_ODT_AS_PDF dans la configuration complémentaire. Elle ne doit contenir que ce que vous ou votre intégrateur y avez mis, rien d'autre. Parcourez ensuite les journaux de connexion pour repérer des accès administrateur à des heures inhabituelles ou depuis des adresses inconnues. Si quelque chose vous paraît anormal, changez les identifiants de la base de données et ceux des comptes de service, puis faites examiner le serveur. Notre article sur la sécurisation d'une instance Dolibarr en production détaille les protections de base : double authentification, filtrage des accès, droits sur les fichiers et sauvegardes testées.

Faire la mise à jour sans interrompre l'activité

Une mise à jour correctrice, de 23.0.x vers 23.0.2 ou de 18.0.x vers 18.0.9, reste en principe un changement limité. Elle se prépare quand même : sauvegarde, test sur une copie, puis passage en production en dehors des heures de facturation. Si vous avez des modules maintenus en interne ou des modèles de documents personnalisés, vérifiez-les sur la copie avant de basculer. Notre module DolicraftUpgrade automatise la sauvegarde préalable, les vérifications et le retour arrière en cas d'échec, pour les versions 16 à 23. Notre offre de maintenance Dolibarr couvre aussi ce suivi des versions pour les entreprises qui ne veulent pas s'en occuper. Si vous souhaitez que nous contrôlions votre version, votre configuration et vos comptes administrateurs, contactez-nous en indiquant l'adresse de votre instance et sa version actuelle. Nous vous répondrons avec les actions à mener.