veilletech.fr
1 nov. Feed du jour
#03 SÉCURITÉ Faille

JetBrains : vos IDE font encore confiance à eMudhra

Votre système est à jour. Votre IDE, lui, vit avec sa propre liste.

Mettre à jour macOS ou Linux ne protège pas les outils JetBrains contre les huit certificats eMudhra compromis : les IDE, la Toolbox, Gateway et ReSharper ont leur propre liste de confiance. JetBrains publie des versions corrigées, un correctif séparé pour le service jetbrainsd et une procédure manuelle. Les versions 2025.1 et antérieures n'auront rien.

3 min de lecturedébutantvidéo 1:18
Partager
Sommaire5 sections
  1. Ce qui se passe
  2. Les versions corrigées
  3. Comment s'y prendre
  4. Ce que Cloudflare mesure
  5. À retenir

Ce qui se passe

Les clés privées de huit certificats intermédiaires eMudhra sont compromises, et quiconque intercepte votre trafic peut s'en servir pour usurper un service. Les outils JetBrains ne s'appuient pas sur le magasin de votre système. Ils en ont trois à eux :

Composant Sa liste Correctif
JetBrains Runtime (JBR) magasin embarqué CVE-2026-91403, CVE-2026-114820
Navigateur intégré (JCEF) mises à jour de Chrome CVE-2026-118696, en 2025.3 et plus
jetbrainsd intégrée au service CVE-2026-118697, version 0.9.9728

JetBrains ne connaît aucune exploitation contre ses utilisateurs à ce jour.

Les versions corrigées

Produit Versions
IntelliJ IDEA 2026.3 RC, 2026.2.4, 2026.1.5.1, 2025.3.6.2, 2025.2.6.4
PhpStorm, WebStorm, PyCharm, RubyMine 2026.3 RC, 2026.2.4, 2026.1.5.1, 2025.3.6.2, 2025.2.6.3
GoLand 2026.3 RC, 2026.2.4, 2026.1.5.1, 2025.3.5.2, 2025.2.6.3
CLion 2026.3 RC, 2026.2.4.1, 2026.1.5.2, 2025.3.6.3, 2025.2.6.3
DataGrip 2026.3 RC, 2026.2.6.1, 2026.1.4.1, 2025.3.6.1, 2025.2.6.1
DataSpell 2026.1.3.1, 2025.3.3.1, 2025.2.4.1
RustRover 2026.3 EAP 8, 2026.2.5, 2026.1.4.1, 2025.3.7.1, 2025.2.6.1
Rider 2026.3 EAP 9, 2026.2.4, 2026.1.5.3, 2025.3.5.3
ReSharper 2026.3 EAP9, 2026.2.4, 2026.1.5.3, 2025.3.5.3
Gateway 2026.3 RC, 2026.2.4, 2026.1.4, 2025.3.3, 2025.2.6
Toolbox App 3.9.1, 3.8.2

Rien n'est prévu pour les IDE 2025.1 et antérieurs, ni pour la Toolbox 3.7 et antérieures. Les correctifs 2025.2.6.* ne traitent que le runtime : tant que leur correctif JCEF n'est pas sorti, désactivez le navigateur intégré.

Comment s'y prendre

Installez le dernier correctif de votre branche. jetbrainsd ne tourne qu'en un exemplaire par utilisateur et le plus récent remplace les autres : une seule application corrigée suffit pour ce service.

Si la mise à jour est impossible :

  1. Copiez jbr/lib/security/cacerts (sous macOS, <IDE>.app/Contents/jbr/Contents/Home/lib/security/cacerts) dans votre dossier personnel, puis retirez les deux racines avec le keytool de l'IDE :

    Terminal
    keytool -delete -keystore <copie> -storepass changeit -alias "comodoaaaca [jdk]"
keytool -delete -keystore <copie> -storepass changeit -alias "emsigneccrootcag3 [jdk]"

  2. Dans Help | Edit Custom VM Options, ajoutez la ligne suivante avec un chemin complet, sans ~, sans variable, sans guillemets. Un chemin faux vous laisse exposé sans le moindre message.

    INI
    -Djavax.net.ssl.trustStore=/chemin/complet/vers/la/copie

  3. Vérifiez que Accept non-trusted certificates automatically est désactivé, puis coupez ide.browser.jcef.enabled dans le Registry. Prévisualisations Markdown et HTML, et sorties Jupyter, s'en ressentent.

Sous Linux, mettez aussi à jour ca-certificates. Le navigateur intégré reste exposé, même en version corrigée, si votre réseau bloque les serveurs de mise à jour de Google.

Si vous utilisez le runtime directement, les builds corrigés sont jbr25.635.79, jbr25.508.41, jbr25.329.142, jbr21.1163.125 et jbr21.1038.91.

Si vous ne pouvez mettre à jour ni la Toolbox ni un IDE, installez jetbrainsd 0.9.9728 à la main : téléchargez l'archive depuis download.jetbrains.com/resources/jetbrainsd/, contrôlez son empreinte, décompressez-la, puis lancez le binaire une fois sans argument.

Archive SHA-256
jetbrainsd-linux-x86_64-0.9.9728.tar.gz 6916c5a20e9971be55caa73dc935cbabfb002e86910f2146a2e5dd01747f6b8e
jetbrainsd-linux-aarch64-0.9.9728.tar.gz abecdf7775475fe2073b46f6f9cae1272b2b9809355cc973de70c4e552a00420
jetbrainsd.app-macos-x86_64-0.9.9728.tar.gz 2c35b0b90b4f8255de399d408ad01dd171200737f8c1aeffb6b7ba9ce11279f4
jetbrainsd.app-macos-aarch64-0.9.9728.tar.gz a26c459e8665a9c1bcc229384476527e1be8e7e3c1230a59e5a3eb3a8108fd08
jetbrainsd-windows-x86_64-0.9.9728.tar.gz 06b8dd29aa5c99fa9f17adfbc4417e5e8b13599aa1d8e45eea1d9590c8c493d0
jetbrainsd-windows-aarch64-0.9.9728.tar.gz d5186973f7ddc803d4cabbe03202e1fed942cfc64628ef65af104bb664ee8865

Ce que Cloudflare mesure

Cloudflare a publié le même jour ses propres relevés. Sur 22 000 poignées de main TLS environ, il n'a trouvé aucune preuve d'interception, sans pouvoir exclure une attaque ciblée. Ses sondes, très marquées par le trafic de robots, montrent que les WebView Android acceptent encore la chaîne compromise dans 30 à 40 % des cas.

Source : JetBrains, 30 octobre 2026. Source en anglais.